如何使用Ubuntu Filebeat进行实时监控

以下是在Ubuntu上使用Filebeat进行实时监控的步骤：

1. 安装Filebeat

   sudo apt update  
   sudo apt install filebeat  
   

2. 配置监控目标
   编辑配置文件 /etc/filebeat/filebeat.yml，在 filebeat.inputs 中指定要监控的文件或目录，例如：

   filebeat.inputs:  
   - type: log  
     enabled: true  
     paths:  
       - /var/log/syslog  
       - /var/log/nginx/*.log  
   

   可选配置：

   • ignore_older：忽略超过指定时间的旧文件（如 72h）。
   • exclude_files：排除特定文件（如隐藏文件）。

3. 设置输出目标
   配置将数据发送到Elasticsearch或Logstash，例如：

   output.elasticsearch:  
     hosts: ["localhost:9200"]  
   

   或发送到Logstash：

   output.logstash:  
     hosts: ["localhost:5044"]  
   

4. 启动并验证

   sudo systemctl start filebeat  
   sudo systemctl enable filebeat  
   sudo systemctl status filebeat  # 检查状态  
   sudo journalctl -u filebeat -f  # 查看实时日志  
   

5. 可选：启用监控端点
   在配置中添加以下内容，启用Filebeat的监控API（需配置认证）：

   management.endpoint: "http://localhost:9200"  
   management.enabled: true  
   

   通过访问 http://<服务器IP>:9200/_nodes/stats/filebeat 查看监控数据。

说明：确保后端服务（如Elasticsearch/Logstash）已运行，且Filebeat有权限访问日志文件。如需监控特定应用日志（如Java），需在路径中指定对应日志文件位置。