错误信息 filebeat 中最近 30 秒消息中没有非零指标

Question

我是 ELK 的新手，在运行ning logstash 时遇到问题。我运行 logstash 在结构中逐步定义，就像我对文件 beat 所做的那样，但是

但是当运行 filebeat 和 logstash 时，它在端口 9600 成功显示 logstash 运行s。在 filebeat 中它给出这样

INFO 过去 30 秒内没有非零指标

Logstash 没有从文件 beat 获取输入。请帮忙。

我的问题和这个article一样，按照它说的做了，但注意改变。

the filebeat.yml is :

    filebeat.prospectors:


    - input_type: log 

      paths:
        - /usr/share/tomcat/log_app/news/*.log


    output.logstash:

      hosts: ["10.0.20.163:5000"]

和我运行这个命令 sudo ./filebeat -e -c filebeat.yml -d "publish"

logstash 配置文件是：

input {
    beats {
        port => "5000"
    }
}
 filter {
    grok {
        match => { "message" => "%{COMBINEDAPACHELOG}"}
    }
    geoip {
        source => "clientip"
    }
}
output {
    elasticsearch {
        hosts => [ "localhost:9200" ]
    index => "%{[@metadata][beat]}-%{+YYYY.MM.dd}"
        document_type => "%{[@metadata][type]}"

    }
}

然后运行命令

1)bin/logstash -f first-pipeline.conf --config.test_and_exit - 这给了好的 2)bin/logstash -f first-pipeline.conf --config.reload.automatic -这在端口 9600

上启动了 logstash

此后我无法继续，因为 filebeat 提供了信息

INFO 过去 30 秒内没有非零指标

我用弹性搜索：5.5.1 基巴纳：5.5.1 日志存储：5.5.1 文件节拍：5.5.1

Answer 1

每次你停止 filebeat。它将开始从文件尾部读取数据。并且因为您正在使用的示例文件没有获取频繁的数据。它无法获取并将其发送到弹性搜索。

编辑您的日志文件。添加更多冗余数据，然后尝试。它应该有效。

您提到的这个错误是因为 FIlebeat 无法获取该文件中的任何更新数据。

Answer 2

如果你想重新发送你的数据，你可以尝试删除filebeat的注册表文件，当你重启filebeat时，它会重新发送数据。

文件位置取决于您的平台。参见 https://www.elastic.co/guide/en/beats/filebeat/5.3/migration-registry-file.html

注册表文件位置也可以在您的 filebeat.yml:

中定义

filebeat.registry_file: registry

https://www.elastic.co/guide/en/beats/filebeat/current/configuration-global-options.html

错误信息 filebeat 中最近 30 秒消息中没有非零指标

error INFO No non-zero metrics in the last 30s message in filebeat

elasticsearch

filebeat