En augmentant le rate limit de rsyslog ça passe
imuxsock lost
Pour bufferiser au niveau applicatif avec syslog coté client si le serveur n'est plus up
Pour envoyer direct dans ES depuis rsyslog
(se passer de logstash devient donc possible dans certains cas)