主⻚：

https://www.elastic.co/cn/products/beats/filebeat

下载：

wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-7.5.1-linux-x86_64.tar.gz

百度云链接：https://pan.baidu.com/s/1MLshk_VyZZTmKhZvlSto3Q 
提取码：ooal

1.把filebeat-7.5.1-linux-x86_64.tar.gz拷贝到目录 /opt/app/elk

2. 解压： tar zxvf filebeat-7.5.1-linux-x86_64.tar.gz

3.备份并修改/opt/app/elk/filebeat-7.5.1-linux-x86_64/filebeat.yml

#备份
mv filebeat.yml filebeat.yml.bak

#配置
vi filebeat.yml

#内容,注意缩进的书写规范
filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /root/logs/*.log
  fields:
    from: filebeat
output.kafka:
  enabled: true
  hosts: ["192.168.128.130:9103"]
  topic: filebeat
  compression: gzip
processors:
- drop_fields:
   fields: ["beat", "input", "source","offset","metadata","timestamp","agent","ecs","fields"]
filebeat.config.modules:
  path: ${path.config}/modules.d/*.yml
  reload.enabled: true
logging.level: info
name: filebeat-server-ip

4.创建启动脚本

#进入到目录： /opt/app/elk/filebeat-7.5.1-linux-x86_64/
cd /opt/app/elk/filebeat-7.5.1-linux-x86_64/
 
#创建filebeat.sh
vi filebeat.sh
 
#往filebeat.sh中添加以下内容
nohup ./filebeat -e -c filebeat.yml >> /opt/logs/filebeat.log &
tail -f /opt/logs/filebeat.log
 
#加上启动权限
chmod +x filebeat.sh

5.执行filebeat.sh启动filebeat

./filebeat.sh

出现以下信息说明启动成功

二、修改logstash,验证

1.修改文件/opt/app/elk/logstash-7.5.1/config.d/config1.conf，去掉file采集，接受来自filebeat队列的消息。

2.修改日志内容

 echo 999 >> /root/logs/aa.log

打开es-head查看信息

---

日志平台搭建第一章：Linux 安装elasticsearch-7.5.1_bill447的博客-CSDN博客
日志平台搭建第二章：Linux使用docker安装elasticsearch-head_bill447的博客-CSDN博客
日志平台搭建第三章：Linux安装logstash_bill447的博客-CSDN博客
日志平台搭建第四章：Linux安装kibana_bill447的博客-CSDN博客
日志平台搭建第五章：Linux安装Kafka_bill447的博客-CSDN博客
日志平台搭建第六章：logstash通过kafka通道采集日志信息_bill447的博客-CSDN博客
日志平台搭建第七章：Linux安装kafka-manager_bill447的博客-CSDN博客
日志平台搭建第八章：Linux安装filebeat_bill447的博客-CSDN博客