Filebeat v8.8.0 Netflow如何配置自定义Ingest Pipeline替代Maxmind？

你遇到的核心问题是Netflow模块自带的默认pipeline优先级高于你尝试配置的其他位置，且模块配置的正确位置未找对。以下是具体解决步骤：

正确配置方式 #

由于你使用Netflow模块（而非直接配置filebeat.inputs），需在模块配置文件/etc/filebeat/modules.d/netflow.yml的log节点下直接指定自定义pipeline，而非放在var变量中：

- module: netflow
  log:
    enabled: true
    pipeline: "new_filebeat_pipeline"  # 这是正确的配置位置
    var: 
      # 保留你原有的变量配置，比如端口、缓存设置等
      input:
        port: 2055
      # 其他var配置...

为什么之前的配置不生效？ #

1. 全局output.elasticsearch.pipeline：当Filebeat模块自身指定pipeline时，模块的pipeline优先级更高，全局配置会被覆盖。
2. filebeat.inputs中的配置：你实际使用的是Netflow模块，而非直接的input定义，该配置完全不会被加载。
3. 模块var里的input.pipeline：Netflow模块的变量列表中无此参数，配置会被忽略，模块依然使用内置的filebeat-8.8.0-netflow-flow-default管道（该管道包含Maxmind地理定位逻辑）。

后续验证步骤 #

1. 检查配置语法正确性：

filebeat test config

2. 重启Filebeat使配置生效：

sudo systemctl restart filebeat

3. 确认Elasticsearch中new_filebeat_pipeline已正确部署，且移除了依赖Maxmind的geoip处理器，替换为你的自定义地理定位逻辑。

内容的提问来源于stack exchange，提问作者Rayne