日志服务关于Logtail的常见问题 - 日志服务

本文介绍Logtail的基本问题。

什么是Logtail？

Logtail是日志服务提供的一种便于日志接入的日志采集客户端。在您的机器上安装Logtail后，通过Logtail来监听指定的日志文件，并自动将新写入到文件的日志上传到您所指定的Logstore。

Logtail基于文件系统的修改事件来监听文件的变化，并将实时产生的日志发送到日志服务。如果日志文件没有发生任何修改行为，将不会被Logtail采集。

日志服务支持通过Logtail采集文本日志和容器日志，还支持通过Logtail插件采集日志。具体操作，请参见如下文档。

Logtail采集原理包括监听文件、读取文件、处理日志、过滤日志、聚合日志和发送数据等过程。更多信息，请参见Logtail采集详情。

Logtail支持日志文件轮转。例如app.LOG文件通过日志文件轮转生成app.LOG.1、app.LOG.2等，Logtail会自动检测到日志文件轮转过程，并保证这个过程中不会丢失日志。

当网络出现波动时，Logtail会尝试重新发送数据。如果网络持续出现异常，则Logtail会尝试切换备用链路。若无备用链路可用，则会停止采集日志并且保持其正在读取的日志文件处于打开状态，间隔一段时间就进行一次重试。
对于1.5.1及以上版本的Logtail，在使用备用链路时Logtail会自动探测默认链路，只要默认链路网络状况良好，则立即切换回默认链路。
对于1.5.1以下版本的Logtail，一旦切换至备用链路就会保持在备用链路，只有当备用链路非常不稳定时才会切换回默认链路。如果您的默认链路为内网，则内网短暂异常可能导致数据持续通过公网发送，建议您及时将Logtail版本升级至最新版本以避免该问题。

Logtail基于事件进行日志采集，一般会在3秒内将日志发往日志服务。

如果日志的时间与Logtail处理该日志的系统时间相差5分钟以上，即被认为是历史日志。Logtail默认只采集增量的日志，如果您需要采集历史日志文件，可使用Logtail自带的导入历史日志功能。具体操作，请参见导入历史日志文件。

您在控制台上修改Logtail配置后，Logtail将在3分钟之内加载新配置并生效。

Logtail采集问题排查思路如下所示。更多信息，请参见Logtail采集日志失败的排查思路。