关键在于启用 journald 的 forwardtosyslog=yes 并确保 rsyslog 加载 imuxsock 模块监听 /dev/log；需配置 storage=persistent、重启 journald、验证 socket 存在及日志逐层流通。
要让 journalctl（实际是 systemd-journald）把日志可靠地送给老旧的 rsyslog，关键不是配置 journalctl 本身——它只是个查询工具，真正起作用的是 journald 的转发开关和 rsyslog 的接收能力。打通这个链路，核心是确保日志从内核/服务 → journald → /dev/log socket → rsyslog → /var/log/*.log 这条通路完整、不丢断。
确认 journald 已启用 syslog 转发
编辑主配置文件：
sudo nano /etc/systemd/journald.conf
在 [Journal] 段落中，确保以下两项已设置：
-
ForwardToSyslog=yes—— 这是开关，必须为yes（默认是no，即不转发） -
Storage=persistent或Storage=auto—— 确保日志能落到磁盘，避免重启后丢失
改完保存，立即重启服务生效：
sudo systemctl restart systemd-journald
验证 rsyslog 正确监听 /dev/log socket
journald 转发日志是通过 Unix domain socket /dev/log 实现的，不是网络端口。rsyslog 必须加载 imuxsock 模块并启用它：
- 检查
/etc/rsyslog.conf或/etc/rsyslog.d/50-default.conf中是否包含：module(load="imuxsock")
（现代发行版通常默认开启，但建议确认） - 运行
rsyslogd -N1测试配置语法，输出中应看到imuxsock加载成功 - 用
ls -l /dev/log确认 socket 存在且可写（权限通常是 srw-rw-rw-）
检查日志是否真实流过这条链路
不要只看 /var/log/syslog 是否有内容，要分层验证：
- 先发一条测试日志：
logger -t test "journald-to-rsyslog-check" - 查 journald 是否收到：
journalctl -t test -n1 - 查 rsyslog 是否落地：
tail -n1 /var/log/syslog | grep test - 如果第2步有、第3步无，说明转发链路中断；重点检查
ForwardToSyslog=yes是否生效（systemctl show systemd-journald | grep ForwardToSyslog）
常见堵点与绕过方式
有些环境因安全策略禁用 socket 转发，或 rsyslog 配置了过滤规则导致日志被丢弃：
- 若 rsyslog 启用了
$RuleSet或if $programname == ... then ...类规则，需确认未误拦systemd-journald或空 facility 日志 - 临时排查可用管道法：
journalctl -o short -n 10 | logger -t journald-fallback，绕过 socket 直接注入 - 如需长期替代方案，可在
/etc/rsyslog.d/下新建配置，用imjournal模块直接读取 journal 二进制文件（需 rsyslog ≥8.32，且 journald Storage=persistent）
