如何监控Syslog运行状态

要监控 Syslog 的运行状态，可以从 服务状态、端口监听、日志写入、系统资源、远程传输 等多个层面进行，下面以 Linux 系统（rsyslog / syslog-ng） 为主进行说明。

一、确认 Syslog 服务状态

1️⃣ systemd 系统（最常见）

systemctl status rsyslog
# 或
systemctl status syslog

✅ 正常状态示例：

Active: active (running) since ...

重启 / 启动 / 停止：

systemctl restart rsyslog
systemctl stop rsyslog
systemctl start rsyslog

2️⃣ 非 systemd（如老版本 Linux）

service rsyslog status
service syslog status

二、检查 Syslog 进程是否存在

ps -ef | grep rsyslog
ps -ef | grep syslog

或：

pgrep -a rsyslog

三、检查 Syslog 监听端口（远程日志）

1️⃣ UDP / TCP 端口（默认 514）

ss -lunp | grep 514
ss -ltnp | grep 514

或：

netstat -an | grep 514

✅ 说明：

• UDP 514 → 传统 syslog
• TCP 514 → 可靠传输
• TCP 6514 → Syslog over TLS

四、检查日志是否正常写入

1️⃣ 查看日志文件是否更新

ls -lth /var/log/messages
ls -lth /var/log/syslog

tail -f /var/log/messages
tail -f /var/log/syslog

2️⃣ 手动生成测试日志

logger "syslog test message"

然后查看日志中是否出现：

grep "syslog test message" /var/log/messages

五、检查 Syslog 配置是否正确

rsyslog 配置

rsyslogd -N1

✅ 无报错说明配置正常

配置文件位置：

/etc/rsyslog.conf
/etc/rsyslog.d/*.conf

六、监控 Syslog 性能与资源

1️⃣ CPU / 内存占用

top -p $(pgrep rsyslog)

2️⃣ 文件描述符

lsof -p $(pgrep rsyslog)

⚠️ 大量连接或日志文件可能导致 FD 耗尽

七、远程 Syslog 监控（重点）

1️⃣ 确认是否接收远程日志

tcpdump -i eth0 port 514

2️⃣ 防火墙是否放行

iptables -L -n | grep 514
firewall-cmd --list-ports

八、Syslog 高可用 / 异常监控建议

✅ 推荐监控项：

九、自动化监控示例（简单脚本）

#!/bin/bash
if ! systemctl is-active --quiet rsyslog; then
    echo "rsyslog is down"
    systemctl restart rsyslog
fi

十、企业级监控（进阶）

• Prometheus + node_exporter
• Zabbix 监控 rsyslog 进程
• ELK / Graylog 日志平台
• rsyslog 内部队列监控（imjournal / omfwd）

如果你能告诉我：

• ✅ 使用的是 rsyslog 还是 syslog-ng
• ✅ 是否 本地 / 远程日志
• ✅ 是否用于 生产环境 / 合规审计

我可以给你一套 更精确的监控方案或告警规则。