如何排查Syslog日志异常

排查 Syslog 日志异常一般可以从「能不能收、收得对不对、内容是否正常、系统资源是否异常」四个维度入手。下面给你一套比较系统的排查思路（以 Linux 常见环境为例，也可适配网络设备/服务器）。

一、确认 Syslog 服务是否正常运行

1. 查看服务状态

常见实现有 rsyslog 或 syslog-ng：

systemctl status rsyslog
# 或
systemctl status syslog-ng

异常表现：

• inactive (dead)
• failed
• 频繁重启

2. 查看服务日志

journalctl -u rsyslog -xe

重点看：

• 配置文件语法错误
• 端口被占用
• 权限问题（如 /var/log 不可写）

二、检查 Syslog 配置是否正确

1. 配置文件位置

• rsyslog：/etc/rsyslog.conf 和 /etc/rsyslog.d/*.conf
• syslog-ng：/etc/syslog-ng/syslog-ng.conf

2. 常见问题点

• 日志级别设置过高（如只记录 err，看不到 warning/info）
• 规则顺序错误导致日志被丢弃
• 远程接收未开启（UDP/TCP 514）

示例（rsyslog 接收远程日志）：

module(load="imudp")
input(type="imudp" port="514")

三、确认日志是否“丢失”或“不更新”

1. 看日志文件是否有变化

ls -l /var/log/messages
tail -f /var/log/messages

如果长时间无更新：

• 应用未写日志
• syslog 未转发
• 被 logrotate 截断

2. 手动发测试日志

logger -p user.err "test syslog message"

没看到 → 本地 syslog 异常
看到了 → 问题在应用或网络

四、远程 Syslog 异常排查（常见痛点）

1. 网络连通性

ping syslog-server
telnet syslog-server 514

2. 防火墙

iptables -L
firewall-cmd --list-all

3. 服务端是否接收

在服务端抓包：

tcpdump -i any udp port 514

五、日志内容异常（乱码 / 重复 / 缺失字段）

可能原因：

• 时区不一致
• 模板格式错误
• 多进程重复写
• 应用日志格式不标准

排查：

date
timedatectl

六、系统资源与磁盘问题

1. 磁盘满

df -h

2. inode 满

df -i

3. 日志文件过大

du -sh /var/log/*

七、快速排查清单（可直接用）

• [ ] syslog 服务是否运行
• [ ] 配置是否 reload
• [ ] 本地是否能写日志
• [ ] 远程端口是否通
• [ ] 防火墙是否放行
• [ ] 磁盘/inode 是否满
• [ ] 日志级别是否合理

如果你愿意，可以告诉我：

• 用的是 rsyslog 还是 syslog-ng
• 是 本地异常还是远程收不到
• 报错信息或现象截图

我可以帮你做更针对性的分析。