CentOS 下 Filebeat 的更新与维护指南
一 更新方式
- 方式一 YUM 仓库升级（推荐）
- 启用 EPEL（如未启用）：sudo yum install epel-release -y
- 更新索引并升级：sudo yum clean all && sudo yum makecache fast && sudo yum update filebeat -y
- 重启服务：sudo systemctl restart filebeat
- 验证版本：filebeat version
- 方式二 手动下载安装（适合特定版本或离线环境）
- 下载：wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat--linux-x86_64.tar.gz
- 解压：sudo tar -xzf filebeat--linux-x86_64.tar.gz -C /usr/share/filebeat
- 备份与替换：备份 /etc/filebeat/filebeat.yml 与 /var/lib/filebeat，必要时用新包内同名文件替换二进制与模块
- 启动：sudo systemctl start filebeat
- 验证版本：/usr/share/filebeat/filebeat-/filebeat version
- 方式三 使用 Ansible 批量升级（适合多台主机）
- 参考示例 Playbook：安装/解压/替换二进制/启动服务，变量化 后批量执行
二 升级前后检查清单
- 备份关键数据：sudo cp -r /etc/filebeat /etc/filebeat.bak；sudo cp -r /var/lib/filebeat /var/lib/filebeat.bak
- 版本兼容：确认新版本 Filebeat 与 Elasticsearch/Kibana 版本兼容
- 配置变更：升级后检查 filebeat.yml 是否有新增/废弃参数，必要时参考官方变更说明
- 服务状态：sudo systemctl status filebeat；查看日志：sudo journalctl -u filebeat -xe
- 目标连通：确保可连接输出目标（如 Elasticsearch/Logstash）的地址与端口，证书与认证信息正确
三 日常维护与监控
- 运行监控：定期检查服务状态与日志，及时处理报错与积压
- 配置优化：结合负载调整参数，如 max_concurrent_files、backoff.polling.interval，并使用 filebeat.autodiscover 做自动发现
- 性能与稳定性：合理设置 close_inactive、ignore_older、scan_frequency 以减少资源占用与漏采
- 日志轮转：配置 logrotate 对 Filebeat 自身日志轮转，避免单文件过大
四 回滚与常见问题
- 快速回滚
- YUM：sudo yum downgrade filebeat -y && sudo systemctl restart filebeat
- 手动：停止服务，将 /etc/filebeat 与 /var/lib/filebeat 用备份恢复，重启服务
- 常见问题排查
- 配置与证书：核对 filebeat.yml 输出地址、端口、TLS 证书与密钥路径
- 网络与防火墙：确认到目标端口（如 9200/5044）可达，放通相应策略
- 版本验证：执行 filebeat version 确认当前运行版本