RHEL 6.6下rsyslog 5.8 imfile无法采集/var/log外日志的问题

我之前碰到过一模一样的问题，在RHEL 6.6用rsyslog 5.8采集非/var/log路径的日志时经常踩这个坑。咱们一步步排查解决：

1. SELinux 权限限制（最大概率的元凶） #

RHEL 6默认开启SELinux强制模式，rsyslog进程的上下文是syslogd_t，默认仅被允许访问带有var_log_t标签的文件路径（也就是/var/log下的文件）。而/opt下的文件默认标签是usr_t，rsyslog根本没权限读取。

解决步骤： #

• 先验证是否是SELinux的问题：临时关闭SELinux测试

  setenforce 0
  service rsyslog restart
  

  如果日志能正常采集，那就确定是SELinux的限制导致的。

• 永久修复（不建议直接关闭SELinux）：
  方法一：给目标日志路径添加匹配的SELinux标签

  # 临时生效
  chcon -R -t var_log_t /opt/appname/log/
  # 永久生效，重启后标签不会丢失
  semanage fcontext -a -t var_log_t "/opt/appname/log(/.*)?"
  restorecon -R /opt/appname/log/
  

  方法二：生成自定义SELinux模块允许rsyslog读取该路径
  先触发一次访问行为，再通过audit日志生成规则：

  grep syslogd /var/log/audit/audit.log | audit2allow -M rsyslog-opt
  semodule -i rsyslog-opt.pp
  

2. 文件/目录权限问题 #

rsyslog在RHEL 6上默认以syslog用户运行，需要确保该用户能访问目标日志文件及父目录：

• 先确认rsyslog的运行用户：

  ps aux | grep rsyslogd
  

• 检查目标路径的权限：

  ls -ld /opt/appname/log/  # 确保syslog用户有目录执行权限（能进入目录）
  ls -l /opt/appname/log/test.log  # 确保syslog用户有文件读取权限
  

• 权限不足时的修复：

  # 简单粗暴的方式（适合测试）
  chmod o+rx /opt/appname/log/
  chmod o+r /opt/appname/log/test.log
  
  # 更安全的方式（推荐）：把syslog加入应用用户组
  usermod -aG appgroup syslog
  service rsyslog restart
  

3. rsyslog配置细节遗漏 #

rsyslog 5.8的imfile模块有几个容易忽略的配置点，缺了的话配置不会生效，而且debug日志可能没报错：

• 必须先加载imfile模块，再配置文件监控
• 最后一定要加$InputRunFileMonitor启动监控

正确的配置示例：

# 先加载imfile模块（如果没加的话）
$ModLoad imfile

# 你的日志文件配置
$InputFileName /opt/appname/test.log
$InputFileTag APPNAME1:
$InputFileStateFile stat-APPNAME1
$InputFileSeverity info
$InputFileFacility local7
# 关键：启动这个文件的监控
$InputRunFileMonitor

4. 其他小概率问题 #

• 目标文件不存在或路径拼写错误：检查路径是否是绝对路径，文件是否真的存在
• 符号链接问题：rsyslog 5.8的imfile对符号链接支持不佳，尽量直接指向实际文件路径

内容的提问来源于stack exchange，提问作者Bill