日志问题就这四类
日志链路的问题集中在四类：收不到、时间不对、量太大、查不到。收不到要查链路与监听，时间不对要查 NTP 与时区，量太大要查日志级别与内容范围，查不到要查解析规则与索引区间。把这四类的首选排查动作固化成手册，值班时不必从零推理，新人也能按图索骥。
基本信息
| 收不到 | 查链路与端口、源接口选择、服务端监听与访问控制 |
|---|---|
| 时间不对 | 查 NTP 同步状态与设备、平台两端时区设置 |
| 量太大 | 查日志级别配置、是否开启了全量会话日志 |
| 查不到 | 查解析规则、字段映射与索引时间区间 |
典型使用场景
- 新设备接入后收不到日志：按链路逐段确认配置
- 日志时间与告警时间对不上：先排除时区与 NTP 因素
- 平台磁盘增长过快：定位是哪类日志量突增
- 平台检索不到已知记录：确认解析规则与索引范围
- 值班交接：把本周新出现的问题与解法补进手册
问题索引
问题索引
# 收不到 -> 设备侧目标配置、链路可达、服务端监听与访问控制
# 时间乱 -> NTP 同步状态与设备、平台两端时区设置
# 字段缺 -> 解析规则与设备实际日志格式是否匹配
# 数据涨 -> 日志级别、内容范围、是否开启全量会话日志
# 检索慢 -> 索引与分片设计、查询时间范围是否过大
# 已收到但查不到 -> 索引时间与查询区间是否对齐现象与首选排查
| 现象 | 首选动作 | 常见原因 |
|---|---|---|
| 完全收不到 | 查链路与监听 | 目标地址错、防火墙未放行 |
| 时有时无 | 查带宽与重传 | 链路拥塞或设备资源不足 |
| 时间错乱 | 查 NTP 与时区 | 时区不一致或未同步 |
| 字段为空 | 看解析规则 | 格式不匹配导致解析失败 |
每遇到一个新问题就把现象与解法补进手册，半年后这份手册就能覆盖大部分高频故障，交接成本显著下降。