Syslog为何无法接收日志

Syslog 无法接收日志通常不是单一原因，而是网络、服务配置、权限或格式等多个环节出问题。下面按最常见 → 较少见的顺序，帮你系统性排查。

一、先确认最核心的 3 个问题

在深入之前，先快速检查：

1. Syslog 服务是否在运行？
2. 是否监听了正确的端口（默认 514 UDP/TCP）？
3. 发送方和接收方网络是否通？

二、接收端（Syslog Server）常见问题

1️⃣ Syslog 服务未启动或未监听端口

不同系统使用的 Syslog 实现不同：

Ubuntu / Debian（rsyslog）

systemctl status rsyslog

启动：

systemctl start rsyslog
systemctl enable rsyslog

查看监听端口：

ss -lunp | grep 514
ss -ltnp | grep 514

RHEL / CentOS / Rocky（rsyslog）

systemctl status rsyslog

使用 syslog-ng

systemctl status syslog-ng

2️⃣ Syslog 未开放网络接收（非常常见）

默认情况下，很多 Syslog 只监听本地。

rsyslog 开启 UDP / TCP 接收

编辑配置文件（常见路径）：

/etc/rsyslog.conf

取消注释或添加：

# UDP
module(load="imudp")
input(type="imudp" port="514")

# TCP
module(load="imtcp")
input(type="imtcp" port="514")

修改后重启：

systemctl restart rsyslog

3️⃣ 防火墙阻止 514 端口

firewalld

firewall-cmd --list-ports
firewall-cmd --add-port=514/udp --permanent
firewall-cmd --add-port=514/tcp --permanent
firewall-cmd --reload

iptables

iptables -L -n
iptables -I INPUT -p udp --dport 514 -j ACCEPT
iptables -I INPUT -p tcp --dport 514 -j ACCEPT

4️⃣ SELinux 阻止（RHEL 系列常见）

查看：

getenforce

临时验证：

setenforce 0

如果此时能收日志，说明是 SELinux 问题，需配置策略而不是关闭。

5️⃣ 日志被过滤掉了

检查是否有过滤规则丢弃日志：

grep -R "stop" /etc/rsyslog.conf /etc/rsyslog.d/

三、发送端（客户端）常见问题

1️⃣ 客户端未配置远程 syslog

示例（rsyslog）：

*.* @@192.168.1.10:514

• @ = UDP
• @@ = TCP

2️⃣ 网络设备 / 防火墙 / 交换机

常见问题：

• 只支持 UDP 514
• 目标 IP 或端口写错
• 源接口未指定，导致回包不通

3️⃣ 时间或时区问题（看起来像没收到）

日志实际到了，但：

• 时间错乱
• 被写入错误文件

检查：

ls -l /var/log

四、快速验证 Syslog 是否真的在接收

本地模拟发送

logger "test syslog message"

查看：

tail -f /var/log/messages
tail -f /var/log/syslog

网络测试

nc -u -v 192.168.1.10 514

五、常见“假性故障”总结

六、我可以进一步帮你精准定位

你可以直接告诉我：

1. 系统版本（Ubuntu / CentOS / 网络设备？）
2. 使用的 Syslog（rsyslog / syslog-ng / 第三方）
3. UDP 还是 TCP？
4. 发送方和接收方是否在同一网段？

我可以一步一步给你针对性修复命令。