rsyslog配置排错需依次验证语法、服务状态、模块加载、路径权限及selinux、调试日志：先用rsyslogd -n1校验语法，再查systemctl status和journalctl日志，确认模块加载与配置匹配，检查目标路径权限及selinux上下文，最后启用$debuglevel捕获详细运行过程。
如果您在 Linux 系统中修改了 rsyslog 配置后，日志未按预期生成、转发或写入目标文件，则可能是由于配置语法错误、模块未加载、权限问题或服务未重载所致。以下是针对 rsyslog 配置错误的排错流程：
一、验证配置文件语法有效性
rsyslog 提供内置语法检查工具，可快速识别配置文件中的语法错误（如缺少分号、错误的模块名、非法参数等），避免因错误配置导致服务启动失败或行为异常。
1、执行命令 rsyslogd -N1 -f /etc/rsyslog.conf 进行基础语法校验；
2、若使用 include 指令引入其他配置文件，需对主配置及其所有被包含文件逐一校验，例如：rsyslogd -N1 -f /etc/rsyslog.d/50-default.conf；
3、若输出中出现 "Errors were detected in configuration" 及具体行号，定位到对应行修正语法；
4、注意：-N1 仅检查语法，-N2 可进一步验证规则逻辑（如模板引用是否有效），建议在复杂配置中使用 -N2。
二、检查 rsyslog 服务状态与实时日志输出
服务是否正常运行、是否加载最新配置、是否在启动阶段报错，均可通过系统服务状态和 rsyslog 自身日志获取线索。rsyslog 在启动或重载时会将关键错误写入系统日志（通常为 /var/log/syslog 或 /var/log/messages）。
1、运行 systemctl status rsyslog.service 查看当前服务状态及最近错误摘要；
2、执行 journalctl -u rsyslog -n 50 -e 查看最近 50 行 rsyslog 单元日志，重点关注 ERROR 或 WARNING 级别条目；
3、若发现类似 "module 'imfile' not found" 的提示，说明所需输入模块未安装或未启用；
4、确认服务是否处于 active (running) 状态，若为 failed，使用 systemctl restart rsyslog 后立即检查 status 输出。
三、确认模块是否已加载并启用
rsyslog 的许多功能（如文件监控、JSON 解析、TCP 转发）依赖外部模块。若配置中引用了未加载的模块，相关规则将被静默忽略，且不产生显式错误（除非开启 debug 日志）。
1、执行 rsyslogd -v | grep "modules:" 查看编译时支持的模块列表；
2、运行 rsyslogd -d -N1 2>&1 | grep "loaded module"（需 root 权限）观察调试模式下实际加载的模块；
3、检查配置文件中是否存在 $ModLoad 或 module(load="xxx") 指令，确认拼写与模块名完全一致（如 imfile、omfwd、mmjsonparse）；
4、若模块缺失，根据发行版安装对应包，例如 Ubuntu/Debian 上安装 rsyslog-mmjsonparse，RHEL/CentOS 上安装 rsyslog-json。
四、验证日志路径、权限与 SELinux 上下文
即使配置语法正确，rsyslog 进程若无法写入目标文件或目录（因权限不足、父目录不存在、SELinux 策略阻止），日志仍将丢失且可能无明确错误提示。
1、检查配置中指定的输出路径（如 /var/log/app.log）是否存在，若不存在则创建：mkdir -p /var/log/app；
2、确认该路径归属用户与组为 syslog:adm 或 root:root（依据 rsyslog 运行用户而定），并设置合理权限：chown syslog:adm /var/log/app 和 chmod 755 /var/log/app；
3、在启用了 SELinux 的系统上，执行 ls -Z /var/log/app.log，确保其上下文为 system_u:object_r:var_log_t:s0；
4、若上下文异常，使用 restorecon -v /var/log/app.log 恢复默认策略，或临时设为 permissive 模式验证是否为 SELinux 导致。
五、启用调试日志并捕获详细运行信息
当常规检查无法定位问题时，启用 rsyslog 内部调试日志可暴露规则匹配过程、消息流转路径及模块交互细节，是深层排错的关键手段。
1、编辑 /etc/rsyslog.conf，在 GLOBAL DIRECTIVES 段添加：$DebugLevel 2 和 $DebugFile /var/log/rsyslog-debug.log；
2、确保 /var/log/rsyslog-debug.log 可写，且磁盘空间充足（调试日志增长迅速）；
3、重启服务：systemctl restart rsyslog；
4、触发一条测试日志（如 logger "test debug message"），随后查看 tail -n 100 /var/log/rsyslog-debug.log 中是否出现该消息的解析、过滤、输出全过程记录；
5、若未见任何调试输出，说明调试配置未生效，需确认 $DebugLevel 是否位于全局作用域且未被后续配置覆盖。
