Filebeat 是一個輕量級的日志收集器，用于將日志文件或日志流發送到如 Elasticsearch 或 Logstash 等后端服務。在 CentOS 上配置 Filebeat 以實現日志轉發通常涉及以下步驟：
安裝 Filebeat: 首先，你需要在 CentOS 上安裝 Filebeat。你可以從 Elastic 官方網站下載最新的 Filebeat 版本，或者使用包管理器安裝。
使用包管理器安裝（以 CentOS 7 為例）:
sudo yum install filebeat
配置 Filebeat:
安裝完成后，你需要配置 Filebeat。配置文件通常位于 /etc/filebeat/filebeat.yml。你可以根據需要編輯此文件。
下面是一個基本的配置示例，它將 Filebeat 配置為讀取 /var/log/*.log 文件，并將日志發送到 Elasticsearch：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
output.elasticsearch:
hosts: ["localhost:9200"]
如果你想將日志發送到 Logstash 而不是直接發送到 Elasticsearch，可以這樣配置：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
output.logstash:
hosts: ["localhost:5044"]
啟動 Filebeat: 配置完成后，你可以啟動 Filebeat 服務：
sudo systemctl start filebeat
并設置開機自啟：
sudo systemctl enable filebeat
驗證 Filebeat 狀態: 你可以通過以下命令檢查 Filebeat 的狀態：
sudo systemctl status filebeat
或者查看 Filebeat 的日志文件，通常位于 /var/log/filebeat/filebeat。
配置防火墻: 如果你的 Elasticsearch 或 Logstash 服務運行在不同的主機上，確保相應的端口（Elasticsearch 默認是 9200，Logstash 默認是 5044）在防火墻中是開放的。
例如，使用 firewall-cmd 命令開放端口：
sudo firewall-cmd --permanent --zone=public --add-port=9200/tcp
sudo firewall-cmd --permanent --zone=public --add-port=5044/tcp
sudo firewall-cmd --reload
安全考慮: 在生產環境中，你應該考慮啟用 TLS 加密和安全認證，以保護你的日志數據在傳輸過程中的安全。
以上步驟提供了一個基本的 Filebeat 配置指南。根據你的具體需求，你可能需要調整輸入和輸出模塊的配置，例如添加日志文件的路徑、排除某些文件、設置日志字段等。更多高級配置選項可以在 Filebeat 官方文檔中找到。
