利用 Filebeat 进行日志分析
一 架构与准备
- 核心思路：用 Filebeat 在主机侧轻量采集与预处理日志，发送至 Elasticsearch 存储与检索，在 Kibana 进行检索、可视化与告警。
- 组件与端口：
- Filebeat：采集器，负责读取文件、解析与发送事件。
- Elasticsearch：搜索引擎，默认 9200 端口，用于索引与聚合。
- Kibana：可视化与仪表盘，默认 5601 端口。
- 安装要点（示例）：
- CentOS/RHEL：使用 yum 安装并启动服务。
- Debian/Ubuntu：下载 .deb 包安装，或以解压方式运行。
- 首次连通性验证：
- 使用 filebeat test output 校验到 ES/Logstash 的输出连通性。
- 使用 curl 或浏览器访问 Kibana（如 http://:5601）确认可达。
二 快速上手配置
- 最简配置（直接输出到 Elasticsearch）：
- 编辑 /etc/filebeat/filebeat.yml：
- filebeat.inputs: 指定日志路径（如 /var/log/*.log）。
- output.elasticsearch: 配置 hosts 与 index（如 “filebeat-%{+YYYY.MM.dd}”）。
- 启动与开机自启：systemctl start filebeat && systemctl enable filebeat。
- 使用模块快速起步（推荐）：
- 启用模块：./filebeat modules enable system nginx 等；查看模块：./filebeat modules list。
- 模块内置了默认采集路径、ES Ingest Pipeline 与 Kibana 仪表盘，适合常见日志类型（如 system、nginx、apache、mysql）。
三 解析与预处理要点
- 多行日志（堆栈、Java 异常等）：
- 使用 multiline 将多行合并为单个事件（如以日期开头作为新事件起点）。
- JSON 日志：
- 使用 json 处理器，将 JSON 字符串解析为结构化字段；可配合 message_key、keys_under_root、add_error_key 等选项。
- 键值/分隔符解析：
- 使用 dissect 或 grok（在 Logstash 中更常见）按模板提取字段，降低后端解析压力。
- 行过滤与文件过滤：
- 通过 include_lines / exclude_lines / exclude_files 减少无关数据（如排除 .gz 压缩旧文件、屏蔽 DBG 调试行）。
- 条件处理与增强：
- 使用 processors 做条件判断、字段重命名、添加标签/错误键等，便于后续检索与聚合。
四 输出到 Elasticsearch 与 Kibana 分析
- 索引与模板：
- 设置按日索引（如 filebeat-%{+YYYY.MM.dd}），并在首次部署时加载索引模板与 Kibana 仪表盘（filebeat setup）。
- Kibana 分析流程：
- 访问 http://:5601，进入 Stack Management → Index Patterns 创建索引模式（如 filebeat-*）。
- 使用 Discover 检索与筛选日志，在 Dashboard 查看模块自带的可视化面板，或自定义图表与告警。
五 运维与优化实践
- 首次采集控制：
- 对存量历史日志，可临时启用 tail_files: true 从文件末尾读取，避免一次性灌入海量旧数据；注意首次之后应关闭，以免在日志轮转时丢行。
- 状态与注册表：
- Filebeat 通过注册表记录读取偏移；如需重头采集，需谨慎处理注册表（可能导致重复或丢行）。
- 资源与性能：
- 合理设置 ignore_older 忽略过久历史文件，减少采集压力；必要时调整内部队列与批量发送参数。
- 安全与连通：
- 生产环境建议启用 SSL/TLS 与认证；使用 filebeat test output 与 Kibana/ES 日志排查连通与权限问题。