Ubuntu Filebeat实现高可用性的核心策略
在Ubuntu系统的多台服务器上分别安装Filebeat（通过sudo apt-get update && sudo apt-get install filebeat），并为每个实例配置相同的日志输入源（如/var/log/*.log）和输出目标（如Elasticsearch集群）。多个实例并行采集日志，避免单点故障——即使某台服务器宕机，其他实例仍能继续收集数据。
Filebeat的输出目标需指向Elasticsearch集群，而非单节点。编辑Elasticsearch配置文件（/etc/elasticsearch/elasticsearch.yml），设置集群名称（cluster.name: my-cluster）、节点名称（node.name: node-1）、种子节点列表（discovery.seed_hosts: ["es-node1", "es-node2", "es-node3"]）和初始主节点（cluster.initial_master_nodes: ["node-1", "node-2", "node-3"]）。集群模式下，Elasticsearch会自动处理节点故障，数据会在节点间同步，确保数据可用性。
当Filebeat输出到Elasticsearch集群时，Elasticsearch会自动将请求分发到集群内的多个节点（负载均衡）。无需额外配置，Filebeat会均匀分配日志事件到集群中的各个节点，提升整体吞吐量并避免单个节点过载。
对于需要协同工作的Filebeat实例（如分布式采集场景），可通过集群配置让实例共享状态信息。编辑每个Filebeat的filebeat.yml，添加集群参数：cluster.name: your_cluster_name（集群标识）、node.name: your_node_name（节点唯一名称）、discovery.seed_hosts: ["host1", "host2", "host3"]（集群节点地址）、cluster.initial_master_nodes: ["node-1", "node-2", "node-3"]（初始主节点）。运行filebeat setup命令让实例加入集群，实现状态同步。
Filebeat会将采集状态（如已读取的日志位置）存储在本地目录（默认/var/lib/filebeat）。为防止服务器故障导致状态丢失，需将该目录挂载为持久化存储（如Ubuntu的LVM或云服务商的持久化卷）。在filebeat.yml中明确配置path.data: /var/lib/filebeat，确保状态信息持久化，恢复后能继续从断点采集。
使用Prometheus和Grafana搭建监控体系：在filebeat.yml中启用监控（monitoring.enabled: true，monitoring.elasticsearch.hosts: ["elasticsearch-host:9200"]），将Filebeat的运行指标（如日志采集速率、队列大小、错误数）发送到Elasticsearch。配置Prometheus抓取这些指标，并通过Grafana创建仪表盘展示集群状态。设置告警规则（如Filebeat进程停止、Elasticsearch节点宕机），及时通知运维人员处理故障。
调整Filebeat的队列配置，提升数据传输可靠性。在filebeat.yml中设置内存队列大小（queue.mem.events: 8192，默认1024，可根据服务器内存调整）和批量发送参数（output.elasticsearch.bulk_max_size: 1024，批量发送的最大事件数；flush_interval: 5s，批量发送的时间间隔）。更大的队列和批量大小能减少网络IO次数，提高吞吐量，同时在网络波动时缓存更多数据，避免数据丢失。