如何通过CentOS Syslog排查网络问题 - 问答

用 Syslog 定位 CentOS 网络问题的实操流程

一、准备与定位日志来源

确认本地日志服务：检查并启动 rsyslog，查看运行状态与启动日志。
命令：sudo systemctl status rsyslog、sudo journalctl -u rsyslog -b
明确日志落盘路径：传统 SysV 系统常写入 /var/log/messages；若系统使用 journald 为主，可用 journalctl -xe 动态查看。
若需汇聚网络设备日志，先在服务器启用接收：
编辑 /etc/rsyslog.conf 或 /etc/rsyslog.d/*.conf，加载模块并监听 UDP/TCP 514：
```
module(load="imudp")
input(type="imudp" port="514")
module(load="imtcp")
input(type="imtcp" port="514")
```
重启服务：sudo systemctl restart rsyslog
防火墙放行：
- 放行 UDP 514：sudo firewall-cmd --permanent --add-port=514/udp && sudo firewall-cmd --reload
- 或放行 syslog 服务：sudo firewall-cmd --permanent --add-service=syslog && sudo firewall-cmd --reload
  以上步骤可确保本机能“写日志、收日志、看日志”，为后续网络问题定位打基础。

二、按症状从日志入手的排查路径

网卡/链路起不来
1. 查看接口与链路：ip link show、ip addr、ethtool <iface>
2. 查系统日志关键词：journalctl -xe | egrep 'link|udev|network|dhclient|rdisc'
3. 核对配置文件：/etc/sysconfig/network-scripts/ifcfg-<iface>（如 ONBOOT=yes、BOOTPROTO、IPADDR、GATEWAY、DNS1）
4. 避免服务冲突：在部分 CentOS 7 场景中，NetworkManager 与传统的 network 服务并存会打架，必要时统一用 nmcli 或只保留其一并重启网络。
获取不到地址（DHCP 失败）
1. 查看租约与日志：journalctl -u dhclient -b、cat /var/lib/dhclient/dhclient*.leases
2. 日志关注：DHCPDISCOVER/REQUEST/OFFER/ACK 是否出现、是否超时、是否被拒绝
3. 若静态配置，核对 IP/掩码/网关/DNS 与对端网络是否一致
能 ping 网关但访问外网失败
1. 路由：ip route（是否存在默认路由 default via ）
2. DNS：cat /etc/resolv.conf、nslookup example.com、dig +short example.com
3. 外部连通性：curl -v http://example.com、traceroute <目标IP/DNS>
端口/服务不可达
1. 本机监听：ss -lntp | grep <端口>、netstat -lntp（确认服务已监听且绑定到正确地址）
2. 远端连通：nc -vz <IP> <端口>、telnet <IP> <端口>
3. 防火墙/安全组：本机 firewall-cmd --list-all；云上检查安全组与网络 ACL
远程 Syslog 发不出去（或收不到）
1. 本机发送配置：/etc/rsyslog.conf 或 /etc/rsyslog.d/*.conf 中应有 *.* @<remote_syslog_ip>:514（UDP）
2. 远端接收：确认远端已启用 imudp/imtcp 并监听 514，且防火墙放行
3. 连通性：nc -vzu <remote_ip> 514（UDP 探测）、nc -vz <remote_ip> 514（TCP 探测）
  以上路径将“现象—命令—日志—修复动作”串联，便于快速缩小范围并验证结果。

三、关键日志与含义速查表

日志源/文件	典型关键词	常见根因	建议动作
`journalctl -u rsyslog`	`imudp: error`、`cannot bind`、`netlink`	rsyslog 未启动、端口被占用、UDP/TCP 监听失败	检查端口占用 `ss -lunpt
`journalctl -u dhclient`	`DHCPDISCOVER/REQUEST/OFFER/ACK`、`No DHCPOFFERS received`、`timeout`	DHCP 服务器不可达、地址冲突、VLAN/物理链路问题	检查上行链路、VLAN 标签、DHCP 服务与租约文件
`/var/log/messages` 或 `journalctl`	`link down/up`、`carrier lost`、`udev`、`rdisc`	网线/交换机端口/网卡驱动异常	更换网线/端口，检查 `lspci` 识别与驱动，必要时重启接口
`cat /var/lib/dhclient/dhclient*.leases`	`lease`、`renew`、`expire`	租约异常、时间不同步	同步时间 `timedatectl set-ntp true`，核对租约与网关
`ss -lntp` / `netstat -lntp`	`127.0.0.1:80`、`0.0.0.0:80`	服务仅监听回环或错误地址	修改服务配置监听 `0.0.0.0` 或指定业务网段
`firewall-cmd --list-all`	`ports:` 未包含业务端口	防火墙阻断	放行端口或临时停用验证：`firewall-cmd --permanent --add-port=<port>/tcp && firewall-cmd --reload`
远端 Syslog 服务器日志	`imudp: socket error`、`input plugin 'imudp' failed`	远端未监听或被防火墙拦截	在远端启用 `imudp/imtcp` 并放行 514，验证 `nc -vzu <ip> 514`
该表可作为“查什么、怎么查、怎么修”的现场速查卡。

四、高效检索与分析技巧

实时跟踪与过滤：
- journalctl -u rsyslog -f -b 实时看 rsyslog 自身日志
- tail -f /var/log/messages | egrep 'error|fail|link|dhcp|reject|denied' 聚焦网络类错误
按时间窗口定位：
- journalctl --since "2025-11-25 10:00:00" --until "10:10:00" | grep dhclient
结构化检索远端设备日志：将交换机/防火墙/路由器的 Syslog 汇聚到 rsyslog 后，用 grep/awk 或 ELK（Elasticsearch+Logstash+Kibana） 建立索引与仪表盘，对 error、denied、link-down 等事件设置告警，便于提前发现网络异常。

0 赞

0 踩