Filebeat 是一個輕量級的日志收集器，用于將日志文件或日志流發送到如 Elasticsearch 或 Logstash 等后端存儲。以下是使用 Filebeat 實現日志轉發的基本步驟：
安裝 Filebeat： 根據你的 Linux 發行版，你可以使用包管理器來安裝 Filebeat。例如，在基于 Debian 的系統上，你可以使用以下命令：
sudo apt-get update
sudo apt-get install filebeat
在基于 Red Hat 的系統上，你可以使用：
sudo yum install epel-release
sudo yum install filebeat
配置 Filebeat：
安裝完成后，你需要配置 Filebeat 以便它知道從哪里收集日志以及將日志發送到哪里。Filebeat 的主配置文件通常位于 /etc/filebeat/filebeat.yml。
打開配置文件并編輯以下部分：
filebeat.inputs: 定義 Filebeat 應該監視哪些日志文件或目錄。output.elasticsearch: 如果你想將日志發送到 Elasticsearch，你需要在這里指定 Elasticsearch 的主機和端口。setup.template.settings: 如果你正在使用 Elasticsearch 7.x 或更高版本，你可能需要設置索引模板。例如，如果你想監視 /var/log/myapp/*.log 文件并將日志發送到本地的 Elasticsearch 實例，你的配置文件可能看起來像這樣：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/myapp/*.log
output.elasticsearch:
hosts: ["localhost:9200"]
setup.template.settings:
index.number_of_shards: 1
啟動 Filebeat： 配置完成后，你可以啟動 Filebeat 服務：
sudo systemctl start filebeat
如果你想讓 Filebeat 在系統啟動時自動運行，可以使用以下命令：
sudo systemctl enable filebeat
驗證日志轉發： 一旦 Filebeat 開始運行，你應該檢查 Elasticsearch 或 Logstash 來確保日志正在被正確接收。如果你使用的是 Kibana，你也可以通過 Kibana 的界面來查看日志數據。
高級配置： 根據你的需求，你可能需要進行更高級的配置，比如設置日志文件的滾動策略、添加字段到事件中、使用處理器來修改事件等。
請注意，上述步驟假設你已經有了一個運行的 Elasticsearch 或 Logstash 實例。如果你還沒有，你需要先搭建這些服務。此外，Filebeat 的配置可能會根據你的具體環境和需求有所不同，因此請參考官方文檔以獲取最準確的指導。
