在 Debian 上使用 Filebeat 进行系统监控
一 安装与准备
- 更新索引并安装 Filebeat：
- sudo apt update
- sudo apt install filebeat
- 确认服务状态与日志路径：
- sudo systemctl status filebeat
- sudo journalctl -u filebeat -f
- 配置文件默认路径：/etc/filebeat/filebeat.yml。在生产环境部署前，建议先备份原始配置，并仅启用需要的输入与输出，避免误发数据。
二 配置输入 采集系统日志
- 启用 Filebeat 模块（推荐）：使用内置模块解析常见系统与应用日志，简化字段与仪表盘配置。
- 启用系统模块：sudo filebeat modules enable system
- 按需启用其他模块（可选）：sudo filebeat modules enable nginx、apache、mysql 等
- 查看与调整模块配置：/etc/filebeat/modules.d/*.yml
- 直接配置日志输入（最小可用示例，采集系统日志与认证日志）：
- filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/syslog
- /var/log/auth.log
- 说明：Filebeat 支持多输入与多路径，支持正则匹配；对多行堆栈日志可结合 multiline 配置进行合并处理。
三 配置输出 将数据发送到后端
- 输出到 Elasticsearch（直连示例）：
- output.elasticsearch:
- hosts: [“localhost:9200”]
- index: “filebeat-%{[agent.version]}-%{+yyyy.MM.dd}”
- 输出到 Logstash（集中处理/过滤后再入库）：
- output.logstash:
- hosts: [“localhost:5044”]
- 安全建议：生产环境请启用 TLS/认证（elasticsearch.hosts 配合 ssl.* 参数，或 Logstash 端配合 TLS/认证插件），并采用 ILM 管理索引生命周期。
四 启动与验证
- 启动与开机自启：
- sudo systemctl start filebeat
- sudo systemctl enable filebeat
- 快速自检：
- 查看服务状态：sudo systemctl status filebeat
- 实时查看日志：sudo journalctl -u filebeat -f
- 若使用模块，加载示例仪表盘并校验索引：
- sudo filebeat setup --dashboards
- sudo filebeat setup --index-management
- 在 Kibana 中创建索引模式（如：filebeat-*），并打开 [Filebeat System] 仪表盘查看主机与认证日志的可视化。
五 运行监控与常见问题排查
- 服务与进程检查：
- 状态：sudo systemctl status filebeat
- 进程：ps aux | grep filebeat
- 端口连通性（若对接 Logstash 输入）：
- ss -tulpen | grep 5044 或 netstat -tulpen | grep 5044
- 日志与内置监控：
- 服务日志：tail -f /var/log/filebeat/filebeat 或 journalctl -u filebeat -f
- Filebeat 自身监控指标（X-Pack 监控）：在 filebeat.yml 中启用
- monitoring:
- enabled: true
- elasticsearch:
- hosts: [“localhost:9200”]
- 常见问题速查：
- 权限不足：确保 Filebeat 可读取 /var/log/ 下的日志文件（必要时调整 filebeat.yml 的 path.data 与运行用户，或使用 sudo 运行）。
- 多行日志截断/合并：为异常堆栈配置 multiline，合理设置 pattern/negate/match/max_lines 等参数。
- 配置未生效：确认 inputs 已启用（enabled: true），并重启服务；使用 filebeat test config 与 filebeat test output 做配置与输出连通性自检。