Promtail syslog任务无报错但查询不到日志，如何排查？

• 检查Docker端口映射
  确认Promtail容器的40514端口已映射到主机，启动容器时需添加端口映射参数：
  docker run -p 40514:40514 ... grafana/promtail:2.9.2
  如果用docker-compose，需在services.promtail.ports中配置：

  ports:
    - "40514:40514"
  

• 验证网络连通性
  在Python程序所在机器，用nc或telnet测试端口连通性：
  nc -zv v145 40514
  若连接失败，排查以下点：

  • 目标主机v145的DNS解析是否正确
  • 主机防火墙是否放行40514端口
  • Docker容器网络模式是否允许外部访问（如bridge模式需端口映射，host模式则直接用主机端口）

• 开启Promtail调试日志
  修改Promtail启动命令或配置，开启debug级日志：

  • 启动时添加参数：-log.level=debug
  • 或在配置文件中添加：

    logging:
      level: debug
    

  查看Docker日志：docker logs <promtail-container-id>，检查是否有received syslog message的日志（确认收到请求），以及successfully sent batch的日志（确认推送到Loki成功）

• 检查Loki接收状态
  查看Loki的容器日志，确认是否收到Promtail推送的syslog日志，有无存储报错（如权限不足、存储配置错误）

• 确认Syslog协议与格式

  • Python的SysLogHandler默认使用UDP协议，Promtail的syslog配置默认也监听UDP，若需TCP通信，需修改Python代码指定socket类型：

    import socket
    handler = logging.handlers.SysLogHandler(address=('v145',40514), socket_type=socket.SOCK_STREAM)
    

  • 用tcpdump抓包查看实际发送的syslog内容是否符合标准：
    tcpdump -i any port 40514 -A
    检查日志是否符合RFC3164或RFC5424格式，Promtail对格式有严格要求

• 验证查询条件与时间范围

  • 先尝试更宽泛的查询，比如{job=~".*syslog.*"}或{}，确认是否存在syslog日志条目
  • 检查查询的时间范围是否覆盖日志发送的时间（因use_incoming_timestamp: true，日志时间为发送时的时间，需确保查询范围包含该时间点）

• 确认Promtail配置加载正确
  访问Promtail的HTTP配置接口：http://<promtail-host>:9080/config，查看返回的配置中是否包含syslog-receiver的job，且配置与本地编写的一致

内容的提问来源于stack exchange，提问作者Allan Xu