能否通过Filebeat读取Serilog输出的.NET控制台日志并发送至Elasticsearch？

完全可行，这是一套成熟的轻量日志收集链路方案，以下是关键实现细节：

1. 先让Serilog输出可解析的日志格式 #

要让Filebeat高效处理日志，优先配置Serilog输出JSON格式的控制台日志（结构化日志能直接被Elasticsearch识别字段，无需额外解析），示例代码：

Log.Logger = new LoggerConfiguration()
    .WriteTo.Console(new JsonFormatter())
    .CreateLogger();

如果偏好文本格式，需保证日志格式规则统一（比如固定字段顺序、分隔符），方便后续Filebeat通过正则提取字段。

2. Filebeat捕获控制台日志的两种方式 #

方式一：重定向输出到文件（生产环境推荐） #

直接将.NET应用的控制台输出重定向到日志文件，稳定性更高：

# 运行应用时将stdout和stderr都写入日志文件
dotnet YourApp.dll > /var/log/yourapp/app.log 2>&1

然后在Filebeat的filebeat.yml中配置监控该文件：

filebeat.inputs:
- type: filestream
  enabled: true
  paths:
    - /var/log/yourapp/app.log
  # 解析Serilog输出的JSON日志，将字段展开到根级别
  processors:
    - decode_json_fields:
        fields: ["message"]
        target: ""
        overwrite_keys: true

方式二：直接捕获进程输出（开发/测试场景） #

使用Filebeat的process输入模块，直接抓取.NET进程的标准输出：

filebeat.inputs:
- type: process
  enabled: true
  processes: ["./dotnet YourApp.dll"]
  stdout: true
  stderr: true
  processors:
    - decode_json_fields:
        fields: ["message"]
        target: ""
        overwrite_keys: true

3. 配置Filebeat发送到Elasticsearch #

在filebeat.yml中添加Elasticsearch输出配置：

output.elasticsearch:
  hosts: ["http://your-es-server:9200"]
  # 若ES开启认证，追加以下配置
  # username: "elastic"
  # password: "your-auth-password"

4. 链路验证步骤 #

1. 启动Elasticsearch并确认服务正常
2. 启动Filebeat加载配置
3. 启动.NET应用生成测试日志
4. 在Kibana中查看filebeat-*索引，确认日志已成功导入

注意事项 #

• 确保Filebeat进程拥有读取日志文件/捕获进程输出的权限
• 若使用JSON格式，避免Serilog输出非标准JSON（比如未转义的特殊字符），否则会导致Filebeat解析失败
• 生产环境建议将.NET应用作为系统服务托管（如systemd），并配置日志文件的轮转策略，防止日志文件过大

内容的提问来源于stack exchange，提问作者HeadEx