Ubuntu 中 syslog 的兼容性概览
Ubuntu 的日志体系以 systemd-journald 为核心，默认与 rsyslog 协同工作：journald 统一采集内核与进程日志，并通过 /run/systemd/journal/syslog 这个与 syslog 兼容的 Unix 套接字把日志交给 rsyslog；rsyslog 再负责写入传统的文本日志（如 /var/log/syslog）以及对外转发。因此，面向传统 syslog 的应用、协议与工具在 Ubuntu 上具有良好的向后兼容性与可集成性。
与应用和协议的兼容性
- 传统应用与命令行工具：使用 syslog() 系统调用或通过 logger 发送日志的程序，会经由 journald 的 syslog 兼容套接字被 rsyslog 接收，行为与经典 syslog 一致。
- 内核与审计日志：journald 直接从 /dev/kmsg 读取内核消息，并可接收审计子系统记录，随后与 syslog 流统一，便于集中处理。
- 结构化日志与本地查询：应用可通过 sd-journal API 写入结构化日志；本地可用 journalctl 高效查询与导出（如 -o json），在保留丰富元数据的同时兼容既有工作流。
- 协议与端口：rsyslog 支持 UDP/TCP 514 等标准 syslog 传输，便于与网络设备和外部日志平台对接。
以上要点确保 Ubuntu 既能满足传统 syslog 场景，又能平滑过渡到结构化与集中化日志体系。
与配置管理和其他发行版的兼容性
- 配置文件路径与语法：Ubuntu 使用 /etc/rsyslog.conf 与 /etc/rsyslog.d/*.conf，不再使用早期的 /etc/syslog.conf；默认配置通常混合了旧式与 RainerScript 语法且被官方支持，推荐在 rsyslog.d 下新增片段而非改写主配置。
- 输入模块差异：Ubuntu 默认常加载 imjournal（从 journald 读取）；部分发行版更偏向 imuxsock（从 /dev/log 读取）。两者可共存，避免重复加载已有模块。
- 发行版间语法差异示例：启用 UDP/TCP 的写法在 Ubuntu（RainerScript）与 RHEL/CentOS（传统指令）上形式不同，但功能等价，迁移时只需按目标发行版语法调整。
这些特性保证了跨版本与跨发行版的可维护性与迁移便利性。
常见兼容性问题与排查要点
- 端口未监听或连通性异常：确认 rsyslog 已加载 imudp/imtcp 并监听 514，使用 netcat/telnet 测试本机与远端连通性，查看 /var/log/syslog 与
systemctl status rsyslog 的输出。
- 权限与路径：确保 rsyslog 对目标日志目录（如 /var/log/ 或自定义目录）具备写权限；自定义路径需正确设置属主与权限。
- 重复加载输入模块：若已存在 imjournal/imuxsock 的加载行，避免再次加载；新增输入（如 imfile 监控文件、imtcp 接收远端日志）按需添加即可。
- 配置语法与生效：修改后先执行
rsyslogd -N1 做语法校验，再 systemctl restart rsyslog 使配置生效。
以上步骤覆盖了最常见的兼容性故障点与修复路径。