FluentD替代rsyslog适配遗留应用：输出RFC5424纯文本及转发问题

FluentD完全可以输出RFC5424合规的纯文本syslog，你遇到的远程转发JSON、标签失效问题，核心是输出插件配置和标签路由规则的问题，以下是具体解决步骤：

1. 安装专用syslog输出插件 #

远程syslog转发不能用默认的file或forward插件，必须用fluent-plugin-syslog插件生成标准RFC5424格式：

# 普通FluentD安装
gem install fluent-plugin-syslog

# 若使用td-agent
td-agent-gem install fluent-plugin-syslog

2. 修正输入/过滤配置，保留必要字段 #

确保输入阶段解析或保留host、severity、facility等RFC5424必填字段，如果输入源未自动带上host，用record_transformer补全：

# 输入源示例（监听本地syslog）
<source>
  @type syslog
  port 5140
  tag syslog.incoming
  rfc5424 true # 开启RFC5424解析，自动提取host、severity等字段
</source>

# 补全host字段（输入源未提供时使用）
<filter syslog.incoming>
  @type record_transformer
  <record>
    host ${hostname} # 用FluentD所在主机名，也可指定固定值或从其他字段提取
  </record>
</filter>

3. 配置远程syslog输出为RFC5424格式 #

替换原有远程输出配置，用syslog插件明确指定RFC5424参数：

<match syslog.incoming>
  @type syslog
  host 远程syslog服务器IP或域名
  port 514 # 通常为514，根据服务器配置调整
  protocol tcp # 可选udp，推荐tcp保证可靠性
  rfc5424 true # 强制输出RFC5424纯文本
  message_field message # 指定用record的message字段作为syslog消息体
  host_field host # 指定用record的host字段填充syslog主机字段
  severity_field severity
  facility_field facility
</match>

4. 修复标签转发失效问题 #

检查以下两点：

• 确认<match>块的标签匹配规则和输入源的tag完全匹配：比如输入源标签是syslog.incoming，match就要写<match syslog.incoming>，需匹配多标签可使用通配符（如<match syslog.*>）
• 查看FluentD运行日志，搜索no match for tag关键词，确认是否存在标签未被匹配的情况，调整match规则即可

验证配置 #

重启FluentD后，检查远程syslog服务器日志，应能看到包含host、消息体等完整字段的标准RFC5424纯文本日志，同时标签匹配正常，符合规则的日志都会被正确转发。

内容的提问来源于stack exchange，提问作者js342