WSL2下通过docker-compose启动ELK后Kibana无Filebeat生成索引

1. 检查Filebeat服务运行状态 #

• 执行docker ps确认Filebeat容器是否处于正常运行状态，无异常退出
• 查看Filebeat运行日志排查启动或运行报错：docker logs <你的filebeat容器名>，重点查找有没有权限报错、路径不存在、ES连接失败类的日志

2. 校验Filebeat配置正确性 #

• 进入容器内部校验配置语法是否合法：docker exec -it <你的filebeat容器名> filebeat test config
• 校验Filebeat到Elasticsearch的连通性和权限：docker exec -it <你的filebeat容器名> filebeat test output，如果返回connection error或者401/403报错，需要检查ES地址配置、账号密码是否正确

3. 排查日志采集路径挂载问题（WSL2环境高发问题） #

• 首先确认docker-compose.yml中是否正确挂载了WSL2的/var/log目录到Filebeat容器内对应的采集路径，常见错误是挂载路径写了Windows宿主机路径而非WSL2的Linux路径，或者挂载目录权限不足
• 进入Filebeat容器内确认目标采集路径是否存在文件：docker exec -it <你的filebeat容器名> ls /path/you/configured/in/filebeat.yml，如果路径为空说明挂载配置错误
• 检查WSL2下/var/log/*.log文件的读取权限，确保Filebeat运行用户（默认是root，如果配置了普通用户需要单独授权）有读权限

4. 检查Elasticsearch侧索引是否生成 #

• 直接调用ES接口查询所有索引，确认Filebeat索引是否已经生成只是Kibana未配置：curl http://localhost:9200/_cat/indices?v

  如果能看到filebeat-*开头的索引，说明采集链路正常，只需要进入Kibana的「Stack Management > 索引模式」页面，创建对应filebeat-*的索引模式即可在Discover页面查看日志

• 如果ES中没有对应索引，回到Filebeat日志排查发送数据报错，常见的有ES磁盘水位限制触发只读、索引模板未正确加载、ES分片分配失败等问题

5. 检查docker-compose服务网络配置 #

• 确认Filebeat、Elasticsearch、Kibana三个服务是否在同一个docker compose自定义网络下，或者Filebeat配置的ES地址是可以正常访问的服务名/IP，不要写127.0.0.1指向容器自身

内容的提问来源于stack exchange，提问作者klynxe