# Logstash 与 Filebeat

URL: https://caijiao.org/elasticsearch/04.practical/02.elk-logstash-filebeat
Source: docs/elasticsearch/04.practical/02.elk-logstash-filebeat.md
Description: 本章介绍 Logstash 和 Filebeat 的功能区别、工作原理及使用场景，帮助选择合适的数据采集方案。

Logstash 和 Filebeat 是 ELK Stack 中两个关键的数据采集组件，分别负责数据处理和轻量级采集，满足不同的业务需求。

## 1. Logstash

- 功能强大，支持复杂的数据采集、过滤和转换  
- 支持多种输入（Input）、过滤（Filter）和输出（Output）插件  
- 可对日志进行解析、格式化、脱敏等处理  
- 通常部署在服务器端，处理大量数据

## 2. Filebeat

- 轻量级日志采集器，专注于文件数据读取和转发  
- 占用资源少，易于部署在边缘节点和服务器上  
- 支持多种模块快速采集常见日志格式  
- 通常负责采集日志文件并发送到 Logstash 或 Elasticsearch

## 3. 工作流程比较

| 功能       | Logstash           | Filebeat          |
| ---------- | ------------------ | ----------------- |
| 采集方式   | 多种输入插件       | 读取日志文件      |
| 数据处理   | 复杂过滤和转换     | 轻量级无处理      |
| 部署位置   | 中央服务器         | 边缘节点或服务器  |
| 资源占用   | 较高               | 较低              |

## 4. 典型使用场景

- **Filebeat + Logstash + Elasticsearch**：Filebeat 负责采集日志，Logstash 负责复杂处理，Elasticsearch 存储索引  
- **Filebeat 直发 Elasticsearch**：适合无需复杂处理的小型环境

---

合理搭配 Logstash 与 Filebeat，可构建灵活高效的数据采集与处理管道。