ELK 与 ELFKK 日志采集架构对比及 Filebeat 配置指南

3. 启动 Filebeat

配置完成后，可以通过以下命令启动 Filebeat：

sudo systemctl enable filebeat # 设置 Filebeat 开机启动
sudo systemctl start filebeat # 启动 Filebeat 服务

4. 检查 Filebeat 状态

确保 Filebeat 正在运行并且没有错误：

sudo systemctl status filebeat

5. 验证日志数据是否被正确发送到 Elasticsearch

登录到 Elasticsearch，检查索引中是否包含了 Filebeat 发送的日志数据。你可以使用 Kibana 来查看这些数据，或者使用 curl 命令直接查询：

curl -XGET 'localhost:9200/_search?q=log_type:app_logs' # 使用自定义字段查询日志类型为 app_logs 的日志

6. 调整和优化（可选）

根据需要调整 Filebeat 的配置，例如增加更多的输入、修改输出设置、增加过滤器等。Filebeat 的配置非常灵活，可以根据具体需求进行调整。

常见问题解决

• 确保 Elasticsearch 运行正常：Filebeat 依赖于 Elasticsearch 作为其输出目标。如果 Elasticsearch 服务未运行，Filebeat 将无法发送数据。
• 检查权限问题：确保 Filebeat 有权限读取指定的日志文件。可能需要调整文件或目录的权限。
• 查看日志：如果 Filebeat 启动失败或行为异常，查看 /var/log/filebeat/filebeat 中的日志文件可能会提供一些线索。

通过以上步骤，你应该能够成功配置并使用 Filebeat 来采集日志数据。