为何Syslog占用CPU过高

Syslog（如 rsyslog / syslog-ng / journald）占用 CPU 过高，通常不是 syslog 本身“有 bug”，而是日志量、配置或下游处理出了问题。下面按常见原因从高到低说明。

一、最常见原因：日志量过大

1. 应用疯狂打日志

• 某服务进入异常循环，每秒几千～几万条日志
• debug 级别在生产环境未关闭

表现

• syslog 进程 CPU 高
• /var/log 下文件增长极快

排查

# 实时看日志量
wc -l /var/log/messages
tail -f /var/log/messages

# 看哪些服务在打
journalctl -f

解决

• 调整应用日志级别
• 限流或只记录 error/warn

二、Syslog 配置问题（非常常见）

2. 写了复杂的过滤规则

例如：

• 大量正则匹配
• 每条日志都写多个文件
• 使用 *.* 全量接收

例子（不好）

*.* /var/log/all.log

优化

*.err /var/log/error.log

3. 同时写本地 + 远程 syslog

• 本地磁盘 IO 慢
• 远程 server 不稳定，导致重试、缓冲

表现

• syslog CPU + IO 都高
• 网络波动时更明显

解决

• 使用 UDP（可接受丢日志）
• 或异步队列（rsyslog 的 omfwd + queue）

三、磁盘 IO 瓶颈导致“假 CPU 高”

Syslog 是 IO 密集型，磁盘慢时会：

• 进程等待 IO
• 看起来像 CPU 占用高（实际是 iowait）

排查

top
# 看 %wa 是否很高

iostat -x 1

解决

• 使用更快磁盘
• 日志分离到独立盘
• 减少同步写入

四、日志轮转（logrotate）异常

• 日志没轮转
• 单文件几十 GB
• syslog 读取/写入变慢

检查

ls -lh /var/log/

解决

logrotate -f /etc/logrotate.conf

五、rsyslog / syslog-ng 本身问题

6. 旧版本 bug

• 某些 rsyslog 版本在高并发下 CPU 飙升

解决

rsyslogd -version

升级到稳定版本

六、被攻击或异常连接

• 有人向 syslog UDP 端口狂发日志（UDP 放大）
• 容器/主机被扫描

检查

netstat -anu | grep 514

七、快速定位思路（实操）

# 1. 看 syslog CPU
top -p $(pidof rsyslogd)

# 2. 看日志速度
tail -f /var/log/messages

# 3. 看谁在打
journalctl -f

# 4. 看磁盘
iostat -x 1

总结一句话

Syslog CPU 高 = 日志太多 / 配置太重 / 磁盘太慢

如果你愿意，可以告诉我：

• 用的是 rsyslog / syslog-ng / journald
• 操作系统（CentOS / Ubuntu / 容器）
• top 里具体是哪个进程

我可以直接帮你给针对性优化方案。