Filebeat 是一个轻量级的日志收集器，用于将日志数据从多个源发送到如 Elasticsearch 或 Logstash 等后端服务。要在 Ubuntu 上使用 Filebeat 进行实时监控，您可以按照以下步骤操作：
首先，确保您的系统是最新的：
sudo apt-get update
sudo apt-get upgrade
然后，安装 Filebeat：
sudo apt-get install filebeat
安装完成后，您需要配置 Filebeat 来指定要监控的日志文件或目录。配置文件通常位于 /etc/filebeat/filebeat.yml。
sudo nano /etc/filebeat/filebeat.yml
在 filebeat.inputs 部分，添加或修改输入来指定要监控的文件路径。例如，要监控 /var/log/syslog 文件的变化，您可以添加如下配置：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/syslog
ignore_older: 72h
这里的 ignore_older 选项指定了 Filebeat 忽略超过 72 小时的旧日志文件。
默认情况下，Filebeat 使用 inotify 来监控文件变化。在大多数 Linux 发行版中，这需要内核支持。您可以使用以下命令检查是否支持 inotify：
cat /proc/sys/fs/inotify/max_user_watches
如果输出的值较低，您可能需要增加这个值。编辑 /etc/sysctl.conf 文件：
sudo nano /etc/sysctl.conf
添加或修改以下行：
fs.inotify.max_user_watches=524288
然后运行以下命令使更改生效：
sudo sysctl -p
配置完成后，启动 Filebeat 服务，并设置为开机自启：
sudo systemctl start filebeat
sudo systemctl enable filebeat
要检查 Filebeat 的运行状态，您可以使用以下命令：
sudo systemctl status filebeat
Filebeat 自身的日志可以通过以下命令查看：
sudo journalctl -u filebeat -f
为了更好地监控 Filebeat 的性能和状态，您可以考虑使用 Filebeat 的监控功能，比如集成 Prometheus 和 Grafana 来进行可视化监控。
请注意，根据您的具体需求和环境，上述步骤可能需要相应的调整。此外，确保 Filebeat 有足够的权限访问您要监控的日志文件，并且后端服务（如 Elasticsearch 或 Logstash）已经正确配置并运行。