Filebeat 是一個輕量級的日志收集器，用于將日志文件或日志流發送到如 Elasticsearch 或 Logstash 等后端服務。在 Ubuntu 上配置 Filebeat 以實現日志轉發通常涉及以下步驟：
安裝 Filebeat: 首先，你需要在你的 Ubuntu 系統上安裝 Filebeat。你可以使用以下命令通過 apt-get 安裝：
sudo apt-get update
sudo apt-get install filebeat
配置 Filebeat:
安裝完成后，你需要配置 Filebeat 以便它知道從哪里收集日志以及將日志發送到哪里。Filebeat 的配置文件通常位于 /etc/filebeat/filebeat.yml。
打開配置文件進行編輯：
sudo nano /etc/filebeat/filebeat.yml
在配置文件中，你需要設置 filebeat.inputs 部分來指定要收集的日志文件或目錄。例如：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
接下來，設置 output.elasticsearch 部分來指定 Elasticsearch 的地址和端口：
output.elasticsearch:
hosts: ["localhost:9200"]
如果你想要將日志發送到 Logstash 而不是 Elasticsearch，你可以這樣配置：
output.logstash:
hosts: ["localhost:5044"]
啟動并啟用 Filebeat: 配置完成后，你可以啟動 Filebeat 服務，并設置為開機自啟：
sudo systemctl start filebeat
sudo systemctl enable filebeat
檢查 Filebeat 狀態: 你可以使用以下命令來檢查 Filebeat 的運行狀態：
sudo systemctl status filebeat
驗證日志轉發: 確保你的后端服務（Elasticsearch 或 Logstash）正在運行，并且可以從 Filebeat 接收到日志。你可以檢查后端服務的日志文件來驗證是否有來自 Filebeat 的日志數據。
請注意，這只是一個基本的配置示例。Filebeat 的配置可以根據你的具體需求進行調整，例如添加日志文件的路徑、排除某些文件、設置日志文件的滾動策略等。此外，如果你的后端服務不在本地或者使用了不同的端口，你需要相應地修改 hosts 和 ports 配置。
