IP电话syslog已抵达服务器但未写入日志文件的排查求助

这种情况真的挺闹心的——数据包明明已经到服务器了，可日志就是没出现在/var/log/messages里。我帮你梳理几个最可能的排查方向，一步步来：

1. 确认rsyslog监听了正确的端口和协议 #

syslog默认走UDP 514，但有些IP电话可能配置成TCP发送，或者你改了端口却没在rsyslog里同步设置。先敲命令看看监听状态：
netstat -tulpn | grep rsyslog 或者 ss -tulpn | grep rsyslog
确保对应协议（UDP/TCP）的514端口（或你自定义的端口）处于LISTEN状态。

如果是TCP发送日志，得检查rsyslog.conf里有没有加载TCP模块并开启输入：

module(load="imtcp")
input(type="imtcp" port="514")

UDP的话则对应imudp模块：

module(load="imudp")
input(type="imudp" port="514")

2. 检查rsyslog的过滤规则是否“截胡”了日志 #

rsyslog.conf里的过滤规则可能把IP电话的日志导向了其他文件，或者直接丢弃了：

• 先搜搜有没有针对IP电话源IP的规则，比如类似 :fromhost-ip, isequal, "你的IP电话IP" /var/log/ip-phone.log 的配置，说不定日志写到别的文件里了。
• 看看全局的日志级别过滤，比如默认的配置行：

  *.info;mail.none;authpriv.none;cron.none                /var/log/messages
  

  如果你的IP电话发的是debug级别的日志，而这里只记录info及以上，那日志会被直接过滤掉。
• 还要注意有没有带& stop的规则——如果某个规则匹配后加了这个，后续的规则就不会生效，可能没走到写入messages的步骤。

3. 排查SELinux或本地防火墙的限制 #

有时候SELinux会阻止rsyslog写入文件，哪怕权限看起来没问题：

• 可以临时关闭SELinux测试：setenforce 0，如果之后日志能正常写入，那就是SELinux的锅。可以用ausearch -m avc -ts recent查看被拒绝的操作，再通过setsebool或添加自定义SELinux模块解决。
• 虽然tcpdump已经看到数据包进来了，但还是可以检查下本地防火墙规则，比如iptables -L或firewalld-cmd --list-all，确保没有本地规则限制rsyslog的接收（这个可能性较低，但排查下更稳妥）。

4. 看看rsyslog自己的日志有没有报错 #

rsyslog如果配置有问题或者权限不足，会在自己的日志里留下记录：

• 查看/var/log/rsyslog.log，或者用journalctl -u rsyslog.service查看服务日志，找找有没有“permission denied”“invalid configuration”这类报错，这些会直接说明问题所在。
• 可以重启rsyslog服务试试：systemctl restart rsyslog，然后看启动日志有没有报错，确保配置文件没有语法错误。

5. 验证IP电话发的日志格式是否合规 #

有些设备发的syslog格式不符合RFC标准（比如缺时间戳、主机名格式不对），rsyslog可能无法正确解析，导致日志被丢弃：

• 用tcpdump -A port 514抓包，看看数据包的内容格式是否正常。如果格式有问题，可能需要在rsyslog.conf里添加自定义模板来适配这种非标准格式。

6. 检查/var/log/messages的权限和所有者 #

最后确认下目标文件的权限是否允许rsyslog写入：

• 敲ls -l /var/log/messages查看，通常所有者是root:root或root:adm，权限至少是640。如果权限不对，rsyslog根本写不进去。
• 如果文件不存在，手动创建并设置正确权限：

  touch /var/log/messages
  chmod 640 /var/log/messages
  chown root:adm /var/log/messages
  

  然后重启rsyslog再测试。

内容的提问来源于stack exchange，提问作者jonathan_whitelist