如何通过Filebeat轻松实现Debian系统日志自定义管理配置？

Debian 程序日志管理的常见痛点

很多运维在使用 Debian 时都遇到过这些头疼问题：/var/log 下日志文件越来越多磁盘告警默认 Filebeat 配置找不到业务日志、修改了 filebeat.yml 后服务不生效还不知道原因、Filebeat 自身日志暴涨导致排查困难不同应用日志混在一起在 Kibana 无法快速检索。下面的方案就是为了解决这些痛点，通过 Filebeat 实现自定义、可控的日志收集与管理。

一、在 Debian 上安装 Filebeat

痛点：不知道官方源怎么加，装完版本不对。

确保你已经在 Debian 程序上安装了 Filebeat。话说回来，你可以使用官方仓库安装：

sudo apt update
sudo apt install filebeat

建议先备份默认配置。 以防改错：sudo cp /etc/filebeat/filebeat.yml /etc/filebeat/filebeat.yml.bak

1. 启用并检查服务状态

sudo systemctl start filebeat
sudo systemctl enable filebeat
sudo journalctl -u filebeat

启动失败或连接失败时通过实时查看 Filebeat 日志快速定位：sudo tail -f /var/log/filebeat/filebeat.log

二、主要配置文件定制 filebeat.yml

痛点：不知道监控哪些方法，字段乱成一锅粥。

In Debian 上定制 FileBeat 的日志处理流程，可以通过配置文件 /etc/filebeat/filebeat.yml 来实现。

filebeat.inputs:
- type: log
enabled: true
至于paths，- /var/log/*.log
- /var/log/myapp/*.log
processors:
- add_fields:
fields的观点是，custom_field: custom_value
- drop_fields:
fields的观点是。output.elasticsearch:
hosts这方面，index: "filebeat-%{}-%{+yyyy.MM.dd}"

在上面的配置中，filebeat.inputs 部分定义了要监控的日志文件方法；output.elasticsearch 部分定义了 FileBeat 将日志发送的目标。不过，

Dellbian 特定程序日志采集示例

filebeat.inputs:
- type: log
enabled: true
从paths来看，- /var/log/syslog
- /var/log/auth.log
output.elasticsearch:
hosts的观点是。index: filebeat-%{}-%{+yyyy.MM.dd}