nginx 1.7.0+ 可原生通过 syslog 协议直连远程服务器发送日志，需关闭本地文件日志、禁用 buffer/flush 参数，正确配置 server/facility/tag 等参数，生产环境推荐使用 tcp 协议提升可靠性。
在 Nginx 中配置 syslog 实现远程集中式日志收集，核心是通过 access_log 和 error_log 指令将日志直接发送到远程 syslog 服务器，无需本地落盘或额外代理（如 rsyslog 转发）。Nginx 自 1.7.0 版本起原生支持 syslog 协议，支持 UDP/TCP/Unix domain socket，推荐使用 TCP 保障可靠性。
启用 syslog 输出 access_log
修改 http、server 或 location 块中的 access_log 指令，指向远程 syslog 地址。格式为：syslog:server=地址:端口,facility=xxx,severity=xxx。
-
基础示例（TCP 发送到 192.168.10.50 的 514 端口）：
access_log syslog:server=192.168.10.50:514,facility=local7,severity=info; -
指定协议（显式使用 TCP）：
access_log syslog:server=192.168.10.50:514,proto=tcp,facility=local7; -
自定义日志格式配合 syslog：
先定义格式，再在 syslog 指令中引用：log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent';access_log syslog:server=192.168.10.50:514,facility=local7 main;
配置 error_log 使用 syslog
error_log 同样支持 syslog 目标，但仅支持 server=host:port 形式，不支持 proto 或 facility 等参数（这些由 syslog 协议栈处理，Nginx 仅负责发送原始消息）。
-
基本写法：
error_log syslog:server=192.168.10.50:514 warn;（warn表示只发 warning 及以上级别） -
注意：syslog 的 facility 默认为
daemon，severity 映射遵循 RFC 5424：Nginx 的error→ syslogerr，warn→warning，info→info。 -
不建议同时启用本地 error_log 和 syslog：避免重复和路径权限问题，可注释掉原有
error_log /path/to/error.log;行。
远程 syslog 服务端准备（以 rsyslog 为例）
Nginx 发送的是标准 syslog 协议报文，接收端需开启对应协议监听并按 facility/severity 过滤路由。
-
启用 TCP 接收（rsyslog v8+）：
在/etc/rsyslog.conf或/etc/rsyslog.d/50-nginx.conf中添加：module(load="imtcp")input(type="imtcp" port="514") -
按 facility 分离 Nginx 日志：
if $syslogfacility-text == 'local7' and $programname == 'nginx' then /var/log/nginx/access.log& stop -
重启生效：
sudo systemctl restart rsyslog
验证与排错要点
配置后必须测试连通性与日志流向，常见问题多出在协议、防火墙或 facility 不匹配。
-
确认网络可达：在 Nginx 机器执行
nc -zv 192.168.10.50 514（TCP）或nc -u -zv 192.168.10.50 514（UDP） -
检查 Nginx 配置语法：
nginx -t，错误日志会提示 syslog 目标解析失败等信息 -
抓包验证发送：
tcpdump -i any port 514 -nn -A查看是否有 syslog 报文发出 -
facility 名称要全小写且合法：如
local0–local7、user、daemon，写成LOCAL7或local8会导致静默失败
