Ubuntu系统Filebeat数据传输加密配置：TLS/SSL安全连接实战指南

日志数据在传输过程中缺乏保护？这无疑是企业安全运维的重大隐患。尤其在分布式日志收集场景中，确保Filebeat与Elasticsearch集群之间的通信安全，是构建可靠数据管道的关键基础。本文将详细讲解如何在Ubuntu系统中为Filebeat配置TLS/SSL加密传输，实现端到端的安全通信保障。

第一步：Ubuntu系统安装Filebeat

首先确保您的Ubuntu操作系统环境准备就绪。打开终端窗口，执行以下标准安装与更新命令：

sudo apt-get update && sudo apt-get install filebeat

第二步：准备SSL证书——建立安全身份凭证

加密通信的核心基础是数字证书。本文以生成自签名证书为例进行演示说明，对于正式生产环境，强烈推荐使用受信任的CA机构颁发的证书。

• 生成自签名证书对：
  使用OpenSSL工具快速创建服务器证书和私钥文件。执行以下命令，将在指定目录生成有效期为10年的证书文件：

mkdir -p /etc/filebeat/certs
openssl req -x509 -newkey rsa:4096 -keyout /etc/filebeat/certs/filebeat.key -out /etc/filebeat/certs/filebeat.crt -days 3650 -nodes

请注意，如果需要配置双向认证（即Elasticsearch服务端同时验证Filebeat客户端身份），则还需准备相应的CA根证书。

第三步：配置Filebeat——启用加密传输功能

接下来进入核心配置环节：修改Filebeat主配置文件。使用文本编辑器打开 /etc/filebeat/filebeat.yml 文件。

定位到 output.elasticsearch 配置段落，将其调整为以下格式，重点在于启用SSL并指定正确的证书文件路径：

output.elasticsearch:
  hosts: ["https://your-elasticsearch-host:9200"]
  ssl.enabled: true
  ssl.certificate_authorities: ["/etc/filebeat/certs/ca.crt"]  # CA根证书路径
  ssl.certificate: "/etc/filebeat/certs/filebeat.crt"         # 客户端证书路径
  ssl.key: "/etc/filebeat/certs/filebeat.key"                 # 客户端私钥路径

请务必将示例中的 your-elasticsearch-host 替换为您实际的Elasticsearch服务器地址或域名。

第四步：重启服务与验证配置

配置文件修改完成后，需要重启Filebeat服务使新配置生效：

sudo systemctl restart filebeat

如何验证配置是否成功？最直接的方法是查看Filebeat的运行状态日志：

tail -f /var/log/filebeat/filebeat

观察日志输出中是否出现连接错误信息，并确认数据开始正常向配置的Elasticsearch加密端点进行传输。

关键配置要点与安全注意事项

• 证书管理与权限控制：确保配置文件中指定的证书文件路径准确无误。同时，为私钥文件（如filebeat.key）设置严格的访问权限（推荐600），防止未授权访问是基本的安全管理要求。
• 服务端协调配置：加密通信链路需要双向配合。如果Elasticsearch服务端尚未启用SSL传输层安全，您需要在Elasticsearch配置文件（如elasticsearch.yml）中启用相关安全设置，例如配置 xpack.security.transport.ssl.enabled: true。
• 生产环境最佳实践：自签名证书适用于测试或内部开发环境。对于面向生产环境或公共网络的服务，采用权威CA签发的可信证书是更规范、更安全的选择。同时，建立定期的证书更新与轮换机制，也是长期安全运维的必要实践。

完成以上配置后，您的Filebeat日志数据流将在加密的安全通道中进行传输。这相当于为数据快递包裹加装了防弹装甲运输车，虽然配置步骤简洁明了，但带来的安全保障级别却实现了质的飞跃。