如何通过CentOS Syslog排查网络问题

用 Syslog 定位 CentOS 网络问题的实操流程

一、准备与定位日志来源

• 确认本地日志服务：检查并启动 rsyslog，查看运行状态与启动日志。
  命令：sudo systemctl status rsyslog、sudo journalctl -u rsyslog -b
• 明确日志落盘路径：传统 SysV 系统常写入 /var/log/messages；若系统使用 journald 为主，可用 journalctl -xe 动态查看。
• 若需汇聚网络设备日志，先在服务器启用接收：
  编辑 /etc/rsyslog.conf 或 /etc/rsyslog.d/*.conf，加载模块并监听 UDP/TCP 514：

  module(load="imudp")
  input(type="imudp" port="514")
  module(load="imtcp")
  input(type="imtcp" port="514")
  

  重启服务：sudo systemctl restart rsyslog
• 防火墙放行：
  • 放行 UDP 514：sudo firewall-cmd --permanent --add-port=514/udp && sudo firewall-cmd --reload
  • 或放行 syslog 服务：sudo firewall-cmd --permanent --add-service=syslog && sudo firewall-cmd --reload
    以上步骤可确保本机能“写日志、收日志、看日志”，为后续网络问题定位打基础。

二、按症状从日志入手的排查路径

• 网卡/链路起不来
  1. 查看接口与链路：ip link show、ip addr、ethtool <iface>
  2. 查系统日志关键词：journalctl -xe | egrep 'link|udev|network|dhclient|rdisc'
  3. 核对配置文件：/etc/sysconfig/network-scripts/ifcfg-<iface>（如 ONBOOT=yes、BOOTPROTO、IPADDR、GATEWAY、DNS1）
  4. 避免服务冲突：在部分 CentOS 7 场景中，NetworkManager 与传统的 network 服务并存会打架，必要时统一用 nmcli 或只保留其一并重启网络。
• 获取不到地址（DHCP 失败）
  1. 查看租约与日志：journalctl -u dhclient -b、cat /var/lib/dhclient/dhclient*.leases
  2. 日志关注：DHCPDISCOVER/REQUEST/OFFER/ACK 是否出现、是否超时、是否被拒绝
  3. 若静态配置，核对 IP/掩码/网关/DNS 与对端网络是否一致
• 能 ping 网关但访问外网失败
  1. 路由：ip route（是否存在默认路由 default via ）
  2. DNS：cat /etc/resolv.conf、nslookup example.com、dig +short example.com
  3. 外部连通性：curl -v http://example.com、traceroute <目标IP/DNS>
• 端口/服务不可达
  1. 本机监听：ss -lntp | grep <端口>、netstat -lntp（确认服务已监听且绑定到正确地址）
  2. 远端连通：nc -vz <IP> <端口>、telnet <IP> <端口>
  3. 防火墙/安全组：本机 firewall-cmd --list-all；云上检查安全组与网络 ACL
• 远程 Syslog 发不出去（或收不到）
  1. 本机发送配置：/etc/rsyslog.conf 或 /etc/rsyslog.d/*.conf 中应有 *.* @<remote_syslog_ip>:514（UDP）
  2. 远端接收：确认远端已启用 imudp/imtcp 并监听 514，且防火墙放行
  3. 连通性：nc -vzu <remote_ip> 514（UDP 探测）、nc -vz <remote_ip> 514（TCP 探测）
     以上路径将“现象—命令—日志—修复动作”串联，便于快速缩小范围并验证结果。

三、关键日志与含义速查表

四、高效检索与分析技巧

• 实时跟踪与过滤：
  • journalctl -u rsyslog -f -b 实时看 rsyslog 自身日志
  • tail -f /var/log/messages | egrep 'error|fail|link|dhcp|reject|denied' 聚焦网络类错误
• 按时间窗口定位：
  • journalctl --since "2025-11-25 10:00:00" --until "10:10:00" | grep dhclient
• 结构化检索远端设备日志：将交换机/防火墙/路由器的 Syslog 汇聚到 rsyslog 后，用 grep/awk 或 ELK（Elasticsearch+Logstash+Kibana） 建立索引与仪表盘，对 error、denied、link-down 等事件设置告警，便于提前发现网络异常。