два случая, один - гипервизор, ставил дебутстрапом, наскольк помню, второй - гость, вирт-инсталл
в логах сообщения от крона в сислог и о том, что рсислог был убит хапом в мессэйджес. при этом нжинкс на госте и либвирт на хосте, например, пишут в свои собственные логи и всё вроде как норм
где копать?