Debian syslog故障排查

debian系统日志服务syslog是系统运行状况监控和问题诊断的关键工具。本文将指导您排查Debian系统syslog故障。

一、排查步骤

1. 查看日志: 使用以下命令检查系统日志：

   • tail -f /var/log/syslog：实时查看syslog日志。
   • dmesg：查看内核日志。
   • journalctl (systemd系统)：查看系统日志，例如 journalctl -b (自启动以来) 或 journalctl -f (实时查看)。

2. 检查配置: 确认/etc/rsyslog.conf和/etc/rsyslog.d/目录下的配置文件正确无误。 确保关键日志记录行（例如 *.* /var/log/syslog）没有被注释掉。

3. 服务状态: 验证rsyslog服务是否运行：

   • sudo systemctl status rsyslog：查看服务状态。
   • sudo systemctl start rsyslog：启动rsyslog服务。

4. 日志级别: /etc/rsyslog.conf中定义了日志级别。如果级别设置为Error，则只会记录错误日志。 尝试将级别设置为debug以获取更详细的信息。

5. 磁盘空间: 使用df -h命令检查/var/log分区是否有足够的可用空间。 空间不足会导致日志无法写入。

6. SElinux: 如果启用SELinux，它可能限制syslog功能。 临时禁用SELinux进行测试：sudo setenforce 0 (仅用于测试，禁用后请重新启用)。

二、常用命令

• tail -f /var/log/syslog：实时查看日志末尾内容。
• dmesg：查看内核消息缓冲区。
• journalctl -b/-f/-u 服务名：查看系统日志，-b显示启动后日志，-f实时显示，-u查看特定服务日志。
• grep “关键字” /var/log/syslog：搜索日志中包含特定关键词的行。
• df -h：查看磁盘空间使用情况。
• ps aux：查看正在运行的进程。
• top：监控系统资源使用情况。
• netstat：查看网络连接和统计信息。

三、示例：无法记录日志的排查

1. 检查/etc/rsyslog.conf: 使用cat /etc/rsyslog.conf查看配置文件，确保*.* /var/log/syslog未被注释。
2. 检查rsyslog服务: 使用sudo systemctl status rsyslog和sudo systemctl start rsyslog检查并启动服务。
3. 检查日志级别: 使用grep “.*” /etc/rsyslog.conf查看日志级别设置，考虑将其设置为debug。
4. 检查磁盘空间: 使用df -h /var/log检查/var/log分区空间。
5. 检查SELinux: 使用getenforce查看SELinux状态，如果为Enforcing，则尝试sudo setenforce 0临时禁用（测试后记得恢复）。

通过以上步骤和命令，您可以有效地诊断和解决Debian系统syslog的各种问题。 记住在修改系统配置文件后重新启动rsyslog服务使更改生效。