排查CentOS上的Filebeat日志收集故障可以按照以下步骤进行：
检查Filebeat日志
- 查看Filebeat日志文件：Filebeat的日志文件通常位于
/var/log/filebeat/filebeat 目录下。检查这些日志文件以查找错误消息和警告。
- 日志级别：确保Filebeat的日志级别设置为适当的级别（如info、debug），以便捕获更多的调试信息。
检查Filebeat配置
- 配置文件验证：使用
filebeat test config 命令验证Filebeat配置文件是否正确。
- 配置文件内容：检查
filebeat.yml 文件中的配置，特别是输入路径、输出配置和日志处理设置。
检查日志文件路径
- 确认日志文件存在：确保Filebeat配置中指定的日志文件路径存在，并且Filebeat有权限读取这些文件。
检查网络连接
- 网络诊断：使用
ping 和 traceroute 命令检查网络连接，确保Filebeat能够访问Elasticsearch或Logstash。
检查Elasticsearch状态
- Elasticsearch健康状态：检查Elasticsearch是否正常运行，可以使用
curl 命令检查Elasticsearch的API状态。
- 索引和映射：确保Elasticsearch中的索引和映射配置正确，以便Filebeat能够正确索引日志数据。
检查系统资源
- 资源使用情况：使用
top、free 和 df 等工具检查系统资源使用情况，确保Filebeat没有因为资源不足而无法正常工作。
检查Filebeat进程
- 进程状态：使用
ps aux | grep filebeat 命令检查Filebeat进程是否正在运行。
检查Filebeat配置的输出部分
- 如果配置了输出到Logstash，检查Logstash是否正常运行。
- 如果配置了输出到Elasticsearch，检查Elasticsearch是否正常运行。
检查Filebeat的监控指标
- 关键监控指标：关注Filebeat的关键监控指标，如harvester运行状态、发送队列长度、事件处理延迟、CPU/内存使用率等。
检查其他可能的问题
- 多行日志处理：如果使用了多行日志处理，确保配置正确。
- 内存队列：检查内存队列设置，确保没有设置过小导致数据丢失。
通过以上步骤，可以系统地排查CentOS上Filebeat日志收集故障。如果问题仍然存在，建议查看Filebeat和Elasticsearch的官方文档，或在相关社区寻求帮助。