应用容器化后，建议日志是落盘后再采集还是直接通过网络发到外部呢？

建议采用先落盘再转发的方式来处理日志。
目前，我看到的主流做法都是通过EFK/ELK进行日志处理。如果有其他专业日志平台，可以通过kafka进行转发，以实现对接现有日志平台。
filebeat部署在node节点上，负责日志采集
kafka实现日志转发
Elasticsearch日志存放
Kibana进行日志展示和分析

通过网络外发，从技术上是完全可行的。但是，网络的不确定性，会造成传输过程的日志丢失风险，并且由于缺少本地日志，会出现不可逆的风险。因此，从稳妥上来说，建议先本地落盘，在转发出来。