Nginx日志无法通过UDP发送至本地rsyslog端口415排查求助

以下是可能导致Nginx日志无法通过UDP发送到rsyslog 415端口的几个问题及解决方法：

1. 确认Nginx是否支持syslog模块 #

部分Nginx编译版本未默认包含syslog输出模块，执行以下命令检查编译参数：

nginx -V 2>&1 | grep -- '--with-syslog'

如果没有返回任何结果，说明Nginx不支持syslog输出，需要重新编译Nginx并添加--with-syslog参数。

2. 验证Nginx配置合法性 #

检查虚拟主机配置是否存在语法错误，执行：

nginx -t

如果提示配置错误，根据输出修正问题后，重新加载Nginx配置：

systemctl reload nginx

3. 确认rsyslog是否实际监听415端口 #

执行以下命令查看rsyslog是否在监听UDP 415端口：

ss -ulnp | grep 415

如果没有结果，说明rsyslog未成功加载imudp模块或监听配置未生效：

• 确保rsyslog子配置文件/etc/rsyslog.d/server_for_nginx.conf中的$ModLoad imudp在$UDPServerRun 415之前（你的配置顺序是对的）
• 重新加载rsyslog配置：

systemctl reload rsyslog

4. 检查SELinux限制 #

SELinux可能会阻止Nginx发送UDP数据包到非标准端口，临时关闭SELinux测试：

setenforce 0

如果此时tcpdump能看到流量，需要添加SELinux规则允许Nginx的行为：

semanage port -a -t syslogd_port_t -p udp 415

5. 补充rsyslog日志处理规则（可选，后续转发需配置） #

你的rsyslog子配置只开启了监听，但未定义local4设施日志的处理/转发规则，后续要转发到远程节点的话，需要在/etc/rsyslog.d/server_for_nginx.conf末尾添加类似规则（根据远程syslog-ng地址调整）：

local4.notice @<远程syslog-ngIP>:<端口>

内容的提问来源于stack exchange，提问作者lolka