| rsyslog | 模板中保留 HOSTNAME 与 TIMESTAMP |
|---|---|
| journal 转发 | 保留 __REALTIME_TIMESTAMP 原始记录时间 |
转发配置核对
转发配置核对
grep -E 'template|ForwardToSyslog|action' /etc/rsyslog.conf | head -5
journalctl --no-pager -n 3 -o json | head -20收到日志的落地时间只作为旁证，分析的基准仍是原始记录时间。
远程日志集中与时间戳保留
远程集中（rsyslog/journal 转发）时保留来源主机与原始时间戳字段；转发链路本身的时间不要覆盖原始时间。
易错点
- 使用接收时间会丢失原始时间基准
- 队列积压会让落地时间整体后移
数据来源与参考
- rsyslog 官方文档（模板）
- systemd-journald 文档（字段）