ubuntu filebeat与logstash联用方法 - 问答

Filebeat和Logstash是Elastic Stack（以前称为ELK Stack）中的两个关键组件，它们通常一起使用以收集、处理和转发日志数据。以下是在Ubuntu系统上将Filebeat与Logstash联用的基本步骤：

1. 安装Filebeat

首先，你需要在Ubuntu系统上安装Filebeat。你可以从Elastic官方网站下载最新版本的Filebeat，并按照官方文档的说明进行安装。

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list
sudo apt-get update && sudo apt-get install filebeat

请注意，上面的命令假设你想要安装的是Elasticsearch 7.x版本的Filebeat。如果你需要其他版本，请相应地更改URL。

2. 配置Filebeat

安装完成后，你需要配置Filebeat以指定要收集的日志文件和要将数据发送到的Logstash实例。编辑Filebeat的配置文件（通常位于/etc/filebeat/filebeat.yml），并添加或修改以下内容：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log # 替换为你要收集的日志文件路径

output.logstash:
  hosts: ["localhost:5044"] # 替换为你的Logstash实例的地址和端口

3. 安装和配置Logstash

接下来，在另一台服务器或同一台服务器上安装Logstash（如果尚未安装）。你可以从Elastic官方网站下载并安装Logstash。

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list
sudo apt-get update && sudo apt-get install logstash

然后，配置Logstash以接收来自Filebeat的数据并进行处理。创建一个新的Logstash配置文件（例如/etc/logstash/conf.d/filebeat.conf），并添加以下内容：

input {
  beats {
    port => 5044 # 确保这与Filebeat配置中的输出端口匹配
  }
}

filter {
  # 在这里添加你的过滤规则
}

output {
  # 在这里添加你的输出目标，例如Elasticsearch
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "filebeat-%{+YYYY.MM.dd}"
  }
}

4. 启动服务

最后，启动Filebeat和Logstash服务，并确保它们正在运行。

sudo systemctl start filebeat
sudo systemctl enable filebeat

sudo systemctl start logstash
sudo systemctl enable logstash

现在，Filebeat应该开始收集指定的日志文件，并将数据发送到Logstash进行处理。处理后的数据可以进一步发送到Elasticsearch进行存储和可视化。

请注意，这些步骤可能需要根据你的具体环境和需求进行调整。建议查阅Elastic官方文档以获取更详细的信息和最佳实践。

0 赞

0 踩