rsyslog中为imuxsock附加规则集后无日志输出的问题求助

一、规则集配置后日志无输出的排查方向 #

1. 规则集未包含输出动作 #

当为imuxsock指定自定义规则集后，默认规则集将不再处理该输入的日志，如果自定义规则集里没有明确的输出配置，日志会直接丢弃。

错误示例：

module(load="imuxsock" SysSock.Name="/run/systemd/journal/syslog")
input(type="imuxsock" ruleset="myruleset")
ruleset(name="myruleset") {
    # 无任何输出动作，日志丢失
}

正确做法是在规则集内添加输出逻辑：

ruleset(name="myruleset") {
    *.* /var/log/my-debug.log
    # 可按需添加其他过滤/转发规则
}

2. 输入与规则集绑定失效 #

确保input语句的ruleset参数正确指向自定义规则集名称（注意大小写敏感）。如果规则集名称拼写错误，日志会流入默认规则集，若默认规则集无对应输出，同样会丢失。

3. 权限与Socket路径问题 #

• 检查/run/systemd/journal/syslog的权限：执行ls -l /run/systemd/journal/syslog，确保rsyslog运行用户（通常是syslog）拥有读取权限（该文件默认属组为adm，需确认syslog用户在adm组内，可执行groups syslog验证）。
• 确认journald已开启转发：检查/etc/systemd/journald.conf中ForwardToSyslog=yes是否启用，重启journald生效：systemctl restart systemd-journald。

4. 调试模式定位问题 #

启动rsyslog调试模式，查看实时错误信息：

rsyslogd -n -f /etc/rsyslog.conf -d

可排查socket连接失败、规则集匹配异常等细节问题。

二、关于Socket重复指定与SysSock.Name的疑问解答 #

1. 为什么input语句需要重复指定Socket？ #

• module(load="imuxsock")是加载模块并设置全局默认参数，比如SysSock.Name会作为所有imuxsock输入实例的默认监听路径。
• input(type="imuxsock")是创建独立的输入实例，你可以在这里指定不同的Socket路径，实现同时监听多个日志源（比如同时监听journald的/run/systemd/journal/syslog和传统的/var/run/syslog）。
• 重复指定是为了覆盖全局默认值，或者明确当前输入实例的监听目标，避免依赖默认值带来的配置模糊。如果input不指定Socket，会自动使用模块加载时设置的全局默认路径。

2. 模块声明中SysSock.Name的作用？ #

• SysSock.Name是imuxsock模块的核心参数，用于指定模块要监听的Unix域Socket路径。
• 在systemd环境下，journald默认将日志转发到/run/systemd/journal/syslog，而非传统的/var/run/syslog，因此必须通过SysSock.Name指定该路径，rsyslog才能接收到journald的日志。
• 如果不设置该参数，imuxsock会默认监听/var/run/syslog，而journald不会往这个Socket发送日志，自然收不到任何消息——这也是你初始配置能正常工作的原因：初始配置必然设置了这个参数。

三、正确配置示例 #

# 加载imuxsock模块，指定全局默认监听journald的syslog socket
module(load="imuxsock" SysSock.Name="/run/systemd/journal/syslog")

# 创建输入实例，绑定到自定义规则集
input(type="imuxsock" ruleset="myruleset")

# 定义规则集，包含输出逻辑
ruleset(name="myruleset") {
    *.* /var/log/my-debug.log
    # 可添加其他规则，例如：
    # authpriv.* /var/log/auth.log
}

内容的提问来源于stack exchange，提问作者user22678633