排查CentOS Syslog日志记录问题可以按照以下步骤进行：
首先，检查Syslog服务是否正在运行：
sudo systemctl status rsyslog
如果服务未运行，可以使用以下命令启动它：
sudo systemctl start rsyslog
检查服务的自启动状态：
systemctl list-unit-files | grep rsyslog
Syslog的外发配置通常在 /etc/rsyslog.conf 或 /etc/syslogng/syslogng.conf 文件中。检查这些文件中的配置是否正确，特别是目标IP地址、端口号、日志级别等参数。
确认Syslog服务器与目标服务器之间的网络连接是否正常。可以使用 ping 命令检查网络连通性，使用 telnet 或 nc 命令检查特定端口的可达性：
telnet 目标服务器IP 端口号
检查Syslog服务器的日志文件，通常位于 /var/log/messages 或 /var/log/syslog，以获取有关故障的详细信息。可以使用以下命令查看日志：
sudo tail -f /var/log/messages
确保防火墙允许Syslog流量的通过。如果使用的是UDP协议，确保端口514是开放的。如果使用的是TCP协议，确保端口445（Syslog over TCP默认端口）是开放的。
确认发送的日志符合预期的级别和设施代码。例如，如果只配置了发送错误级别的日志，但实际发送了警告级别的日志，也会导致外发失败。
如果使用了日志分析工具，如ELK Stack，确保Syslog消息的格式正确，并且工具能够正确解析。可以手动解析日志文件，或使用工具进行更深入的分析。
使用 logrotate 工具进行日志轮转，防止日志文件过大。可以创建或编辑 /etc/logrotate.d/rsyslog 文件，设置日志轮转规则，例如按天轮转并保留最近30天的日志文件：
/var/log/messages {
daily
rotate 30
missingok
notifempty
compress
delaycompress
sharedscripts
}
使用工具如 logwatch 或 goaccess 来监控日志的变化，并设置报警机制，当日志服务器的资源利用率超过设定阈值时，发送报警通知给管理员。
使用模板定义日志消息的格式，便于后续分析和查询。可以在 /etc/rsyslog.conf 中添加模板：
template(name="RemoteLogs" type="list") {
*.* ?RemoteLogs
}
然后将其应用到日志规则中：
authpriv.* ?RemoteLogs
确保日志传输的安全性，可以使用TLS等加密方法来保护日志数据在传输过程中不被未授权访问。
通过以上步骤，通常可以定位并解决CentOS系统中Syslog外发的故障。如果问题依然存在，可能需要进一步检查系统日志、网络配置或与系统管理员联系。