（五）ELK系列之Filebeat搭建

（一）ELK系列之ELK介绍

（二）ELK系列之Elasticsearch搭建

（三）ELK系列之Kibana搭建

（四）ELK系列之Logstash搭建

1、Filebeat包准备

去到es官网，找到需要的版本（本人使用6.6.1版本），根据需求下载，我这里下载rpm包，之后直接导进Linux

https://www.elastic.co/cn/downloads/past-releases/filebeat-6-6-1

（此处下载缓慢，原因你懂的，可以直接从我百度盘里获取）

链接：https://pan.baidu.com/s/1WhF2oBvbU4SqJHmBTeBMcQ
提取码：fbjo

当然也可以直接用wget在linux里面获取

[root@es1_master_node_test ~]# wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-6.6.1-x86_64.rpm

安装好后进到配置文件

[root@es3_data_node2_test filebeat]# vim /etc/filebeat/filebeat.yml

进行以下配置

你可以对多个日志进行采集，以document_type来进行区分

为了测试，添加下面两行

output.console:  # 指定在终端上输出日志信息

  enable: true

保存后退出

测试之前确定没有打开filebeat，否则会报一个进程冲突的错误

 [root@es1_master_node_test ~]# /usr/share/filebeat/bin/filebeat -c /etc/filebeat/filebeat.yml

这里我配置的是ng的日志，能看到日志直接打印在终端屏幕上

证明测试成功，此时回到配置文件，把这个测试的两行注释掉，

这里我用到的架构是通过filebeat采集日志传输给logstash去过滤，所以这里的output的项如下配置，其中hosts填写的是logstash服务器的ip

配置好后就可以去logstash服务器进行配置，生成一个对应的新的conf文件，当然也可以不用生成，但是为了区分，在这里我单独对filebeat采集到的ng日志区分

详细过滤配置如下

在logstash配置文件logstash.yml中配置这一条

配置完成后，重启logstash和filebeat服务

去es服务器查看是否有新配置的索引ngaccrss-*和ngerror-*

[root@es1_master_node_test ~]# curl 10.9.8.93:9200/_cat/indices?v

可以看到有索引了，那么从filebeat-->logstash-->es彻底连通了，接下来去kibana里面添加索引，在（三）ELK系列之Kibana搭建中已经有说明，此处就不再重复

此处画个重点，收集的日志文件以及所属文件夹一定要给足权限，不然会出现filebeat一直收集不了的情况