Linux部署Filebeat有五种方法：一、系统包管理器安装（适配CentOS/RHEL/Ubuntu/Debian，自动依赖管理与systemd集成）；二、离线二进制包安装（适用于无外网环境，解压即用，便于版本隔离）；三、RPM/DEB手动安装（跳过源配置，适合临时验证）；四、多配置文件结构部署（通过conf.d目录分离输入配置，提升可维护性）；五、最小化控制台输出验证（前台运行+console输出，快速调试采集链路）。
如果您需要在Linux系统中部署Filebeat以实现日志采集功能，则可能是由于缺乏标准化日志转发能力或需对接ELK栈。以下是多种可行的安装与配置方法：
一、使用系统包管理器安装
该方式适用于已配置Elastic官方软件源的CentOS/RHEL或Ubuntu/Debian系统，可自动处理依赖并集成systemd服务管理。
1、为CentOS/RHEL添加Elastic仓库并导入GPG密钥：
sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch
sudo tee /etc/yum.repos.d/elastic.repo <<EOF
[elastic-8.x]
name=Elastic repository for 8.x packages
baseurl=https://artifacts.elastic.co/packages/8.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF
2、为Ubuntu/Debian添加Elastic APT源：
curl -fsSL https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo gpg --dearmor -o /usr/share/keyrings/elastic-keyring.gpg
echo "deb [arch=amd64 signed-by=/usr/share/keyrings/elastic-keyring.gpg] https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic-8.x.list
sudo apt-get update
3、执行安装命令：
CentOS/RHEL：sudo yum install filebeat
Ubuntu/Debian：sudo apt-get install filebeat
4、启用并启动服务：
sudo systemctl daemon-reload
sudo systemctl enable filebeat
sudo systemctl start filebeat
二、离线二进制包安装
该方式适用于无外网访问权限的生产环境，不依赖系统包管理器，所有文件集中于解压目录，便于版本隔离与快速迁移。
1、在联网机器下载对应架构的tar.gz包，例如：
wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-8.12.2-linux-x86_64.tar.gz
2、将压缩包传输至目标服务器，并解压：
tar -zxvf filebeat-8.12.2-linux-x86_64.tar.gz
cd filebeat-8.12.2-linux-x86_64
3、创建专用运行用户并授权：
sudo useradd -r -s /bin/false filebeat
sudo chown -R filebeat:filebeat /path/to/filebeat-8.12.2-linux-x86_64
4、复制默认配置并校验语法：
cp filebeat.yml filebeat.yml.bak
./filebeat test config -c filebeat.yml
5、以后台服务方式运行（需配合systemd unit文件或nohup）：
sudo ./filebeat -e -c filebeat.yml &
三、RPM/DEB包手动安装
该方式跳过仓库配置步骤，直接安装预编译包，适合临时验证或受限于策略无法添加第三方源的场景。
1、下载RPM包（CentOS/RHEL）：
wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-8.12.2-x86_64.rpm
2、下载DEB包（Ubuntu/Debian）：
wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-8.12.2-amd64.deb
3、执行本地安装：
RPM：sudo rpm -vi filebeat-8.12.2-x86_64.rpm
DEB：sudo dpkg -i filebeat-8.12.2-amd64.deb
4、手动初始化配置目录（若未自动创建）：
sudo mkdir -p /etc/filebeat/conf.d/
sudo cp /usr/share/filebeat/filebeat.reference.yml /etc/filebeat/filebeat.yml
5、设置文件权限并重载服务：
sudo chmod 644 /etc/filebeat/filebeat.yml
sudo systemctl daemon-reload
四、多配置文件结构部署
该方式通过分离输入配置提升可维护性，避免单体filebeat.yml臃肿，支持按业务/组件维度独立启停采集任务。
1、确认主配置启用conf.d目录扫描：
编辑 /etc/filebeat/filebeat.yml，确保包含以下内容：
filebeat.config.inputs:
enabled: true
path: /etc/filebeat/conf.d/*.yml
2、创建专用配置目录并设置权限：
sudo mkdir -p /etc/filebeat/conf.d/
sudo chown root:filebeat /etc/filebeat/conf.d/
sudo chmod 750 /etc/filebeat/conf.d/
3、编写独立输入配置，例如MySQL慢日志采集（/etc/filebeat/conf.d/mysql-slow.yml）：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/mariadb/mysql-slow.log
tags: ["mysql-slow"]
multiline.pattern: '^\# Time'
multiline.negate: true
multiline.match: after
4、校验全部配置有效性：
sudo filebeat test config -c /etc/filebeat/filebeat.yml
5、重启服务使新配置生效：
sudo systemctl restart filebeat
五、最小化控制台输出验证配置
该方式用于快速验证Filebeat是否能正常读取日志文件及解析配置，无需依赖外部输出目标，适合初始调试阶段。
1、新建独立测试配置文件 config/01-test-to-console.yml：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/messages
- /var/log/secure
output.console:
pretty: true
2、执行配置语法检查：
./filebeat test config -c config/01-test-to-console.yml -e
3、以前台模式运行并观察实时日志输出：
./filebeat -e -c config/01-test-to-console.yml
4、确认终端持续打印匹配的日志行，且无panic或failed连接错误信息，即表明采集链路畅通。
