docker logs查不到日志主因是日志驱动配置错误或应用未输出至stdout/stderr；容器重启后日志消失因json-file驱动未持久化或轮转丢失；远程日志收不到则多因fluentd地址不可达、未启用双写或缺少上下文标签。
docker logs 命令查不到日志？容器重启后日志消失？远程日志服务收不到数据？——这通常不是网络不通，而是日志驱动配置没对上，或者关键选项漏了。
为什么 fluentd 驱动发不出日志？检查 fluentd-address 和容器网络连通性
Fluentd 是最常用于安全日志集中采集的驱动，但它默认不带重试或缓冲机制。一旦容器启动时 fluentd-address 不可达，日志会直接丢弃（不报错、不重试）。
实操建议：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
-
fluentd-address必须是容器能访问的地址，不是宿主机localhost—— 容器内localhost指自己，应改用宿主机真实 IP（如172.17.0.1）或 Docker 自定义网络中的服务名（如fluentd:24224） - 在容器内手动测试连通性：
nc -zv fluentd 24224或curl -s http://fluentd:24224/health（需 Fluentd 启用 health 插件） - 加
tag选项强制标识来源，例如service.security.auth，避免日志混入其他业务流 - 别依赖
docker logs查看 ——fluentd驱动本身不支持该命令读取，除非开启双日志缓存（见下一条）
想保留本地备份又发远程？必须启用双日志缓存（dual logging）
Docker 20.10+ 支持 local + 远程驱动并行写入，但需要显式启用：仅靠 docker run --log-driver fluentd 不会自动落盘，docker logs 仍为空。
实操建议：
- 在
/etc/docker/daemon.json中配置全局双写：{ "log-driver": "fluentd", "log-opts": { "fluentd-address": "fluentd:24224", "tag": "security.{{.Name}}" }, "logging": { "driver": "fluentd", "options": { "fluentd-address": "fluentd:24224" } } }❌ 错误：Docker 不识别logging顶层字段 - 正确方式：启用
log-driver+log-opts，再加"log-opts": { "mode": "non-blocking" }并配合local作为 fallback —— 实际不可行；真正可靠的是用json-file作主驱动 + 外部 Filebeat 采集转发 - 推荐路径：用
json-file驱动本地落盘（配max-size/max-file），再部署 Filebeat 以container输入类型监听/var/lib/docker/containers/*/*.log，打标log_type: security后发往远程
syslog 驱动发安全日志要注意 FACILITY 和 LEVEL 映射
安全类应用（如 SSH 登录、fail2ban、auditd）常输出 syslog 格式日志，若直接用 syslog 驱动转发，FACILITY（设备）和 LEVEL（优先级）可能被忽略，导致中心端无法按严重等级过滤。
实操建议：
- 启动容器时显式指定：
--log-driver syslog --log-opt syslog-facility=auth --log-opt syslog-level=info - 确保远程 syslog 服务器（如 rsyslog）已启用 UDP/TCP 接收，并配置
$AllowedSender白名单 - 验证日志是否带正确前缀：在接收端执行
tail -f /var/log/auth.log | grep docker，应看到类似Apr 21 02:15:33 host docker/ssh-auth[12345]: Failed password for root - 避免用
none或local驱动处理安全日志 —— 它们不携带标准 syslog 结构，审计溯源时字段缺失
安全日志必须带上下文字段，否则无法关联攻击链
单纯把 stdout 往外推，日志里只有时间戳和字符串，根本没法判断是哪个 Pod、哪个 Namespace、哪个用户触发的登录失败。Docker 日志驱动本身不注入元数据，得靠组合手段补全。
实操建议：
- 在
docker-compose.yml中为安全服务加labels：labels: - "com.security.category=auth" - "com.security.level=critical"
，再通过--log-opt labels=com.security.*让驱动透传这些字段 - 使用
json-file驱动时，docker inspect能查到完整标签，Filebeat 可用add_docker_metadata自动注入container.id、image、labels - 禁止在应用层硬编码 IP 或主机名 —— 容器漂移后这些信息立刻失效；所有上下文应由运行时注入
安全日志同步不是“选个 driver 就完事”，核心矛盾在于：远程驱动（fluentd、syslog）默认不保留副本，而本地驱动（json-file）又缺乏结构化路由能力。真正落地时，几乎都要搭配 Filebeat 或 vector 做二次采集和 enrichment，否则字段残缺、链路断裂、审计无效。
