rsyslog配置排错首选rsyslogd -N1语法校验，可精准定位行级错误；再查systemctl status和journalctl日志，确认服务状态与模块加载；最后验证路径权限及SELinux上下文。
直接用 rsyslogd -N1 检查语法，这是最快速、最可靠的判断方式。配置文件哪怕只多一个空格或漏个分号，都可能让服务启动失败或静默失效，而错误往往不会立刻报在 systemctl status 里。
用 -N1 命令验证基础语法
这个命令不启动服务，只做静态语法扫描，能精准定位到出错的行和原因：
- 运行
rsyslogd -N1 -f /etc/rsyslog.conf，它会逐行检查主配置 - 如果用了
$IncludeConfig或include(file="/etc/rsyslog.d/*.conf")，记得对每个被包含文件也单独校验，比如：rsyslogd -N1 -f /etc/rsyslog.d/50-default.conf - 输出中出现 Errors were detected in configuration，后面跟着具体行号和错误描述（如 “invalid module name”、“missing semicolon”），就照着改
- 想进一步验证模板、规则逻辑是否有效，可升级到
-N2，尤其在用了template或if $programname == ...这类条件判断时很有用
看服务状态和 journal 日志找线索
语法没问题但服务仍起不来，说明问题可能在加载阶段或运行时：
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 执行
systemctl status rsyslog，重点看最后一行的退出码（比如code=exited, status=1）和提示关键词（如 “failed to load module”） - 用
journalctl -u rsyslog -n 30 -e查最近 30 行单元日志，过滤 ERROR/WARNING；常见提示如：“module ‘imfile’ not found”（模块没装）、“could not open config file”（路径写错或权限不足） - 如果看到
active (exited)而不是active (running)，基本说明服务启动后立刻退出，大概率是配置或依赖问题
确认模块是否加载成功
很多功能依赖外部模块（比如读文件要用 imfile，转发要用 omfwd），配置写了但模块没加载，规则就完全不生效，且默认不报错：
- 查已编译支持的模块：
rsyslogd -v | grep "modules:" - 查当前实际加载了哪些：
rsyslogd -d -N1 2>&1 | grep "loaded module"（需 root） - 检查配置里是否有
$ModLoad imfile或module(load="imfile")，拼写必须和模块文件名完全一致（注意大小写和下划线） - 模块文件通常在
/usr/lib64/rsyslog/下，用ls /usr/lib64/rsyslog/im*.so确认是否存在
检查路径权限和 SELinux 上下文
配置指向了某个目录或文件，但 rsyslog 进程没权限写入，也会导致启动失败或日志丢失：
- 目标日志路径（比如
/var/log/myapp.log）父目录必须存在，且属主为syslog:adm或至少对syslog用户可写 - 运行
ls -ld /var/log/myapp/和ls -l /var/log/myapp.log看权限和归属 - 若启用了 SELinux，用
ls -Z /var/log/myapp.log检查上下文是否为system_u:object_r:var_log_t:s0；不是的话，用restorecon -Rv /var/log/myapp修复 - 临时关闭 SELinux 测试（
setenforce 0）可快速判断是否为其所致
