CentOS Syslog故障排查实践指南
Syslog是CentOS系统日志管理的核心工具，通过分析日志可快速定位系统故障根源。以下是具体的排查流程与技巧：
在排查故障前，需确保Syslog服务正常运行：
systemctl status rsyslog（CentOS 7及以上默认使用rsyslog）命令，若服务未运行，执行systemctl start rsyslog启动，并通过systemctl enable rsyslog设置开机自启。/etc/rsyslog.conf，自定义规则通常存放在/etc/rsyslog.d/*.conf。检查配置文件中的日志级别（如info、error）、设施代码（如authpriv对应安全日志）和输出目标（如本地文件/var/log/messages或远程服务器@IP:514）是否正确，修改后需重启服务使配置生效。CentOS系统中，不同类型的日志分散在/var/log目录下，需根据故障类型选择对应文件：
/var/log/messages（记录内核、服务及系统级消息）；/var/log/secure（记录认证、授权及SSH登录信息）；/var/log/boot.log（记录系统启动过程）；/var/log/dmesg（记录内核启动及硬件交互信息）。tail -f /var/log/messages实时跟踪系统日志更新，快速捕捉故障发生时的实时信息；grep "error" /var/log/messages筛选包含“error”的日志行，缩小故障范围；结合tail -f实现实时过滤（如tail -f /var/log/messages | grep "error"）；journalctl（systemd日志管理工具）查看更详细的系统日志，例如journalctl -b显示本次启动的日志，journalctl -u sshd.service查看SSH服务的日志，journalctl -f实时跟踪日志。sudo yum install logwatch后，运行sudo logwatch生成每日日志报告（默认发送至root邮箱），可通过--range参数指定时间段（如--range 'last week'），帮助识别周期性故障；df -h查看磁盘使用率，若/var分区空间不足（如超过80%），清理旧日志（如rm -rf /var/log/*.gz删除压缩的旧日志）或扩展分区；root用户和syslog组拥有，权限为640（如ls -l /var/log/messages），若权限错误，用chown root:syslog /var/log/messages修改所有者，chmod 640 /var/log/messages修改权限；getenforce返回Enforcing），可能阻止syslog写入日志，临时设置为Permissive模式（setenforce 0）测试，若问题解决，需调整SELinux策略（如audit2allow生成自定义规则）。ping <目标IP>测试网络连通性，用telnet <目标IP> 514（UDP）或nc -zv <目标IP> 514（TCP）检查端口可达性；firewall-cmd --list-ports查看防火墙开放端口，若未开放514端口，添加规则（如firewall-cmd --add-port=514/udp --permanent，然后firewall-cmd --reload）；/etc/rsyslog.conf中远程日志规则正确（如*.* @192.168.1.100:514表示接收所有日志并发送至远程服务器的514端口），重启rsyslog服务使配置生效。logrotate（/etc/logrotate.d/rsyslog）定期压缩、删除旧日志，防止日志文件过大占用磁盘空间（如设置daily每日轮转、rotate 7保留7天）；logwatch设置邮件告警（修改/etc/logwatch/conf/services.conf中的MailTo参数），或通过Zabbix、Prometheus等工具监控日志中的关键字（如“error”、“fail”），及时通知管理员；scp /var/log/messages root@backup-server:/backups/logs/），防止日志丢失。