1. Ubuntu Filebeat 数据传输加密全流程
1.1 架构目标与边界
本节聚焦在 Ubuntu 环境中实现 Filebeat 与输出端（如 Elasticsearch、Logstash）之间的 TLS/SSL 加密传输，以防止数据在传输过程被窃取、篡改或重放。
通过建立证书驱动的身份验证和加密通道，可以实现端到端的传输安全性。需要明确的是，传输层的 TLS/SSL 配置是整套安全策略的核心，一旦配置不当将直接影响证书信任、域名匹配和握手成功率。
1.2 安全需求与输出选型
输出目标通常包括 Elasticsearch、Logstash、OpenSearch 等，且均应支持HTTPS/TLS 传输与服务器证书验证。实现要点在于输出端的 证书链完整性、域名（SAN/CN）匹配、以及握手阶段的严格校验。
在设计阶段应确保输出端具备有效证书、私钥保护、以及证书撤销机制的可用性，以便在证书到期或被吊销时能够快速轮换并不中断数据流。
2. 证书基础与准备工作
2.1 证书体系概览：CA、服务器、客户端
在生产环境中，推荐自建 CA，通过 CA 为服务器与客户端签发证书，形成清晰的信任链。自建 CA 的优势是可控、可追溯，但需要在客户端持续分发受信任的 CA 证书。
确保服务器端证书具备正确的主题备用名称（SAN）以覆盖实际访问域名，并在客户端信任链中包含该 CA 证书，以避免握手失败。
2.2 OpenSSL 生成流程与示例
以下流程演示如何在 Ubuntu 系统上使用 OpenSSL 生成 CA、服务器证书和客户端证书，并确保私钥权限受控、证书有效期合理。
# 生成 CA 私钥和证书
openssl genrsa -out ca.key 4096
openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.crt -subj "/CN=MyFilebeatCA"# 生成服务器证书请求与私钥
openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr -subj "/CN=es.example.com"# 使用 CA 签发服务器证书（包含 SAN）
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365 -sha256 \-extfile <(printf "subjectAltName=DNS:es.example.com")# 生成客户端（Filebeat）证书请求与私钥
openssl genrsa -out filebeat.key 2048
openssl req -new -key filebeat.key -out filebeat.csr -subj "/CN=filebeat"# 使用 CA 签发客户端证书
openssl x509 -req -in filebeat.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out filebeat.crt -days 365 -sha256
要点：SAN 的配置至关重要，若缺失或域名错误会在 TLS 握手阶段导致失败；务必确保证书链完整，服务器端要向客户端提供 CA 证书以完成信任校验。
2.3 证书分发与信任链管理
Filebeat 客户端需要配置 信任的 CA 证书，以验证服务器证书的有效性。服务器端通常提供服务器证书、私钥及 CA 证书，以供客户端信任链建立。建立严格的分发与轮换流程是保障长期安全的关键。
在实际部署中，建议将证书放置在受限权限目录（如 /etc/filebeat/certs），并设置合理的文件权限来防止非授权访问。
3. Filebeat 配置与 TLS/SSL 启用
3.1 安装与基础配置
在 Ubuntu 上通过官方仓库安装 Filebeat，确保获得最新的稳定版本。安装完成后，首先确认系统账户权限、证书路径以及安装目录的正确性，以便后续 TLS 配置顺利进行。
常见的安装命令如下，请在受控环境中执行并记录版本信息，以便问题追踪和审计。
sudo apt-get update
sudo apt-get install filebeat
3.2 Filebeat 输出到 Elasticsearch 的 TLS 配置示例
以下配置片段展示如何在 output.elasticsearch 中开启 TLS，并指定证书与信任链。确保将路径替换为实际证书位置，并将输出地址改为实际的 Elasticsearch 实例。
output.elasticsearch:hosts: ["https://es.example.com:9200"]protocol: "https"username: "elastic"password: "changeme"ssl.certificate_authorities: ["/etc/filebeat/certs/ca.crt"]ssl.certificate: "/etc/filebeat/certs/filebeat.crt"ssl.key: "/etc/filebeat/certs/filebeat.key"ssl.verification_mode: "full" # none | certificate | fullssl.certificate_issuer: "MyFilebeatCA" # 可选，用于自签证书时的额外校验
要点：将 verification_mode 设置为 full，可开启严格校验，阻止未信任的服务器证书引发的连接错误。
3.3 Filebeat 与 Logstash 的 TLS 配置方式
在使用 Logstash 作为输出端时，Beats 输入插件通常用于接收数据。确保 Logstash 端也启用 TLS，并将 CA 证书提供给 Filebeat 进行信任验证。
# Filebeat -> Logstash TLS 示例
output.logstash:hosts: ["logstash.example.com:5044"]ssl.certificate_authorities: ["/etc/filebeat/certs/ca.crt"]ssl.certificate: "/etc/filebeat/certs/filebeat.crt"ssl.key: "/etc/filebeat/certs/filebeat.key"tls.enabled: true
4. 运行、轮换与监控
4.1 验证 TLS 连接与证书链
在正式投产前通过验证工具确认 TLS 通道正常建立。使用 OpenSSL 或 curl 验证服务器证书以及证书链，确保域名、有效期与信任链正确。
openssl s_client -connect es.example.com:9200 -CAfile /etc/filebeat/certs/ca.crt
同时，检查 Filebeat 日志中的 TLS 握手信息，确认主机名匹配、证书有效期、以及握手阶段无错误。
4.2 证书轮换与自动化
制定证书轮换策略，降低因证书过期导致的断流风险。结合配置管理工具（如 Ansible、Chef、Puppet）实现证书的自动分发、权限校验和服务重启，以实现无缝轮换。
在轮换过程中，建议引入滚动重启的机制，确保 Filebeat 实例在不中断数据传输的前提下完成证书替换。
5. 常见故障排除
5.1 常见错误与排查方向
TLS/SSL 相关的故障大多来自 证书信任链、主机名匹配（SAN/CN）、以及端口配置错误。遇到握手失败、证书无效或域名不匹配时，优先检查证书路径、权限、以及 CA 是否正确配置。
查看 Filebeat 与 Elasticsearch/Logstash 的日志，可以快速定位错误原因，例如 SSL routines:ssl3_get_server_certificatehandshake_failure、certificate signed by unknown authority等提示通常指向信任链或证书问题。
5.2 调试与日志级别调整
如需深入排查，可将日志级别提升，以输出 TLS 握手的详细信息。将 Filebeat 的日志级别设置为 debug，有助于定位证书字段、域名、SAN 的问题。
logging:level: debugselectors: ["*","*-tls*"]
