在分布式系统运维中，把分散在数十台主机上的应用日志汇总到中心节点是基本诉求。syslog 日志驱动作为操作系统级的标准日志设施，能够通过网络将本地产生的消息推送到远程日志服务器，而不需要业务代码里硬编码 HTTP 上报逻辑。它本身由系统服务（如 rsyslog、syslog-ng）承载，应用只需要往本地 socket 或特定设备写入记录，剩下的传输、重试、过滤都由驱动完成。
syslog 协议基础与日志驱动工作原理
syslog 最初定义在 RFC 3164，后来由 RFC 5424 做了标准化增强。一条 syslog 消息包含优先级（priority）、时间戳、主机名、应用名、进程号和文本内容。优先级由 facility（设施，表示日志来源类型）和 severity（严重级别）组合计算，数值等于 facility 乘 8 加上 severity。例如本地应用通常使用 local0 到 local7 这八个自定义设施，方便服务端按来源分流。
日志驱动在操作系统层面表现为一个常驻进程监听 /dev/log 这类 Unix 域套接字，或者 UDP/TCP 的 514 端口。当应用程序调用 syslog() 函数或写入 /dev/log 时，驱动收到原始记录，按模板格式化成标准报文，再根据配置决定是本地落盘还是转发远端。远程发送时，驱动充当客户端，把报文发往配置好的远端 collector，整个过程对应用透明。
这种机制的优势在于解耦。业务进程崩溃前最后几条日志仍能由驱动缓冲发出，且驱动支持多条目的、带队列的转发，避免日志洪峰直接打垮网络。与之相比，让每个微服务各自用 TCP 直连日志平台，既浪费连接数，也难以统一格式。下面是一段 C 语言使用 syslog 接口写日志并交由驱动转发的示例：
#include <syslog.h>
int main(void) {
// 打开日志连接，指定设施为 local0
openlog("myapp", LOG_PID | LOG_NDELAY, LOG_LOCAL0);
syslog(LOG_INFO, "服务启动完成，监听端口 8080");
syslog(LOG_ERR, "数据库连接失败：%s", "timeout");
closelog();
return 0;
}
配置 syslog 驱动实现远程发送的常见方案
以 Linux 上最常见的 rsyslog 为例，只需在配置目录加入一个子配置文件即可开启远程发送。若使用 UDP，配置指令为 *.* @@(o)remote-ip:514 这类写法；若用更可靠的 TCP，则写成 *.* @@remote-ip:514。其中单个 @ 代表 UDP，双 @ 代表 TCP。还可以限定只转发某设施，例如 local0.* @@192.168.0.1:514 仅把业务应用日志外发。
对于容器环境，Docker 自带的 syslog 日志驱动能直接将容器 stdout 转发到远端。启动容器时指定 --log-driver=syslog --log-opt syslog-address=tcp://192.168.0.1:514 即可，不需要在容器里装 rsyslog。Kubernetes 则常借助 DaemonSet 部署 fluentd 或 rsyslog 侧车，把节点上所有容器日志收口后再用 syslog 协议外发，保持传输层统一。
值得注意的是，UDP 模式不保证到达，适合指标类海量日志；TCP 模式有确认但占用连接。生产环境建议在驱动前加本地磁盘队列，配置 $WorkDirectory 与 $ActionQueueFileName，使网络中断时日志暂存，恢复后补传。以下为 rsyslog 队列加 TCP 远端的配置片段：
# /etc/rsyslog.d/remote.conf $WorkDirectory /var/spool/rsyslog $ActionQueueType LinkedList $ActionQueueFileName fwdRule $ActionResumeRetryCount -1 $ActionQueueSaveOnShutdown on local0.* @@192.168.0.1:514
远程发送中的安全、过滤与排错要点
明文 syslog 在网络上传输可能被嗅探或篡改。若跨机房发送，应采用 TLS 加密的 syslog（RFC 5425 定义的 syslog over TLS），rsyslog 通过 omfwd 模块配合证书实现。也可以在传输前用 VPN 或专线隔离。另外，远端服务器需配置允许来源 IP，避免成为外部日志注入点。 facility 与 severity 的合理使用能在发送端就丢弃 debug 级噪声，减少带宽。
排错时最常见的问题是防火墙阻断 514 端口，或 SELinux 限制 rsyslog 联网。可用 nc -u remote-ip 514 手动发测试包，并在服务端 tcpdump 抓包确认。若发现日志不全，检查驱动队列是否溢出，以及本地 /var/log/messages 是否有 rsyslog 报错。另一个易错点是应用用了错误 facility，导致服务端规则匹配不到，因此约定好 local 编号并写进部署文档很重要。
从架构视角看，syslog 驱动远程发送适合作为日志管道的接入层，而非终极存储。远端 collector 收到后应交由 Elasticsearch 或 Loki 做索引，再上 Grafana 查询。这样既能利用 syslog 的轻量与标准，又弥补了它检索能力弱的短板。当团队规模扩大，还可以在驱动层做采样，对 info 以下级别按百分比发送，进一步节约成本。