| 设备段 | 外发功能是否开启、发送计数 |
|---|---|
| 链路段 | 中间设备端口策略、NAT、带宽 |
| 接收段 | 服务进程、磁盘、解析错误 |
排查顺序
排查顺序
1. 设备确认有日志产生（logbuffer 对照）
2. 抓包确认是否发出
3. 服务器确认是否收到
4. 检查解析、轮转与存储UDP 传输的丢失量可用序列号或统计对比估算。
日志丢失排查
日志断档按「设备产生 → 传输 → 接收 → 入库」四段排查，重点是链路与容量两类原因。
易错点
- 先怀疑设备不产生日志，实际是链路被策略拦截
- 服务器磁盘满导致接收进程静默丢日志
数据来源与参考
- NIST SP 800-92（日志故障排查）
- rsyslog 官方文档：调试