CentOS下Filebeat如何实现日志加密传输

在CentOS系统中实现Filebeat日志加密传输的完整指南

在CentOS服务器环境中，保障日志数据在传输过程中的安全性与机密性是企业级运维的关键需求。本文将详细介绍两种主流的Filebeat日志加密传输方案，帮助您构建安全可靠的日志收集管道，有效防止数据泄露与中间人攻击。

1. 基于TLS/SSL协议的端到端加密方案

最常用的加密方式是在Filebeat与Elasticsearch之间直接建立TLS/SSL安全连接。这种方法配置简单、性能高效，能够为日志传输提供完整的端到端加密保护。以下是具体的实施步骤：

a. 准备SSL证书与密钥文件

安全传输的基础是有效的数字证书体系。您可以选择使用OpenSSL工具生成自签名证书，或从权威证书颁发机构（CA）申请正式证书。建议为Filebeat客户端和Elasticsearch服务器分别配置对应的证书与私钥，确保双向身份验证的可靠性。

b. 配置Filebeat的SSL参数

接下来需要编辑Filebeat的主配置文件（默认路径为 /etc/filebeat/filebeat.yml）。在output.elasticsearch部分启用SSL/TLS加密选项，并正确指定证书文件路径。参考配置示例如下：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /path/to/your/log/files/*.log

output.elasticsearch:
  hosts: ["https://your_elasticsearch_host:9200"]
  ssl.certificate_authorities: ["/path/to/your/ca.pem"]
  ssl.certificate: "/path/to/your/filebeat.pem"
  ssl.key: "/path/to/your/filebeat_key.pem"

请根据实际环境调整以下参数：将 /path/to/your/log/files/*.log 替换为需要监控的日志文件路径；将 https://your_elasticsearch_host:9200 修改为Elasticsearch集群的实际地址；确保证书文件路径（包括CA证书、客户端证书和私钥）指向正确的文件位置。

c. 重启Filebeat服务

完成配置后，保存文件并重新启动Filebeat服务以使加密设置生效：

sudo systemctl restart filebeat

此时Filebeat将通过HTTPS协议建立加密连接，所有传输的日志数据都将受到TLS/SSL协议的保护，确保即使在公共网络环境中也能安全传输。

2. 通过Logstash实现加密中转传输

对于需要复杂日志处理或集中式加密管理的场景，推荐采用Filebeat→Logstash→Elasticsearch的架构。这种方案允许在Logstash层实现统一的安全策略和数据处理逻辑。

a. 配置Logstash加密输出

首先设置Logstash接收Beats输入，并配置到Elasticsearch的加密输出通道。在 /etc/logstash/conf.d/ 目录下创建配置文件，内容参考如下：

input {
  beats {
    port => 5044
  }
}

output {
  elasticsearch {
    hosts => ["https://your_elasticsearch_host:9200"]
    ssl => true
    ssl_certificate_verification => true
    ssl_certificate => "/path/to/your/logstash.pem"
    ssl_key => "/path/to/your/logstash_key.pem"
  }
}

请确保将Elasticsearch主机地址和证书路径替换为实际值，并根据安全需求调整证书验证级别。

b. 重启Logstash服务

保存配置文件后，重启Logstash服务加载新的加密配置：

sudo systemctl restart logstash

c. 调整Filebeat输出配置

修改Filebeat配置文件，将其输出目标指向Logstash服务：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /path/to/your/log/files/*.log

output.logstash:
  hosts: ["localhost:5044"]

此处的paths配置应指向需要收集的原始日志文件目录，hosts参数设置为运行Logstash服务的地址和端口。

d. 重启Filebeat完成部署

最后重启Filebeat服务，完成整个加密传输链路的配置：

sudo systemctl restart filebeat

这种分层架构的优势在于：Filebeat与本地Logstash之间可采用快速传输协议，而Logstash到Elasticsearch之间则通过强加密连接，既保证了处理效率，又实现了跨网络传输的安全性，特别适合分布式日志收集场景。