Vector安装成功不等于可用，必须正确配置sources与sinks配对，并解决权限、路径、编码等细节问题；推荐apt/dnf用于生产环境，curl脚本适合测试，离线包适用于无网场景。
Vector 在 Linux 上能直接跑起来，但默认不监听任何日志、也不转发——安装只是第一步，真正起效靠的是配置里 sources 和 sinks 的配对是否正确，以及权限、路径、编码这些细节有没有踩坑。
怎么选安装方式：包管理器 vs 一键脚本 vs 离线包
三种方式都能装上 vector，但适用场景不同：
- 用
apt或dnf安装（推荐生产环境）：自动处理systemd服务、依赖、升级路径；需先导入 GPG 密钥和源，否则apt install vector会报 “unable to locate package” - 用
curl -sSfL https://sh.vector.dev | sh（适合测试/CI）：下载静态二进制到/usr/local/bin/vector，不写 systemd 配置，得自己补vector.service文件 - 手动下载
.deb或.rpm（离线环境）：注意架构匹配，比如vector-0.37.0-x86_64-unknown-linux-musl.rpm不能装在 glibc 系统上；dpkg -i后要跟apt-get install -f补依赖
验证是否真装好了？别只信 vector --version，还得跑 systemctl status vector 看服务状态——很多“安装成功”其实是进程没启起来。
为什么 file source 读不到 /var/log/syslog
常见现象：配置写了 include: ["/var/log/syslog"]，但 vector 启动后没输出、日志里也没报错。根本原因是权限或路径语义问题：
-
vector默认以vector用户运行，而/var/log/syslog通常只有root和syslog组可读；要么加User=root到/usr/lib/systemd/system/vector.service，要么把vector用户加进syslog组（usermod -aG syslog vector） -
read_from: "begin"或"end"影响首次读取位置：设成"end"就跳过已有内容，只收新追加的日志；调试时建议先设"begin"确认能读到历史行 -
ignore_older: 86400是按文件 mtime 判断的，不是按日志时间戳；如果/var/log/syslog是 logrotate 滚动出来的，旧文件可能被删或重命名，导致ignore_older误判为“太老”而跳过
一个最小可验证配置：type: file + include: ["/var/log/syslog"] + read_from: "begin" + sink: console，先确认这条链路通了，再加 transform 或远程 sink。
vector 转发到远端时连不上 9000 端口
客户端用 sink.type: vector，服务端用 source.type: vector，看似对称，但实际失败常卡在三个地方：
- 服务端
address: "0.0.0.0:9000"写成"127.0.0.1:9000"：后者只监听本地回环，外部机器连不上；必须显式写0.0.0.0或具体网卡 IP - 防火墙没放行：Ubuntu 的
ufw、CentOS 的firewalld默认拦9000；执行sudo ufw allow 9000或sudo firewall-cmd --add-port=9000/tcp --permanent && sudo firewall-cmd --reload - 客户端没开 TLS，服务端却要求 TLS：
sink.address如果是"123.123.123.123:9000"，默认走明文；服务端若配置了tls.enabled: true，连接会静默失败，vector日志里只显示 “connection refused” 或干脆没记录——关掉服务端 TLS 或客户端补tls.enabled: true并配证书路径
调试技巧：在服务端机器上用 nc -lvnp 9000 占住端口，再启动客户端；如果 nc 收到连接，说明网络和防火墙没问题，问题出在 Vector 配置本身。
高性能日志链路的关键不在吞吐量，而在字段控制和背压处理
很多人以为“高性能”就是调大 buffer 或并发数，其实 Vector 的瓶颈常来自两处：
- 正则解析（
parse_regex!）滥用：每条日志都跑一遍复杂正则，CPU 占用飙升；能用parse_json就不用正则，能用split提前切分就别全量匹配；remap中的del()要克制，删太多字段反而触发内存拷贝 - 下游 sink 不支持背压：比如往磁盘
filesink 写入时磁盘 IO 慢了，Vector 默认会缓存积压数据到内存；若没设max_events或buffer.max_size，OOM 风险很高；生产环境务必给每个 sink 配buffer.type: "disk"和buffer.max_events: 100000 -
host_metrics这类内置 source 默认采样频率是 10s，但如果你同时开了file+journal+vector三路输入，又没做route分流，所有日志都会进同一 transform 链，字段冲突（比如两个 source 都设了.host）会导致覆盖或丢字段
最易被忽略的一点：Vector 的 data_dir（默认 /var/lib/vector）必须有足够空间且挂载为本地磁盘；如果放在 NFS 或低 IOPS 云盘上，disk buffer 一写就卡，整个 pipeline 就堵死。
