Методом ненаучного тыка установлено, есть если запустить сокет руками один раз, командой systemctl start syslog.socket, то rsyslog начинает работать.

Либо поставить пакет rsyslog-journal, который добавляет библиотеку для взятия логов из journal каким-то другим способом.

Это баг, или так задумано и надо просто упомянуть о таких тонкостях на wiki?

Дальнейшие исследования показали, что:

1. rsyslog не стартует по зависимостям, если не запускается syslog.socket. 

2. Syslog.socket не запускается, если не найден syslog.service

3. Syslog.service не существует до момента выполнения команды systemctl enable rsyslog, потому что syslog.service - это виртуальный юнит, который ссылается либо на rsyslog, либо на syslog-ng, в зависимости от того, кому сделан enable (оба их включить нельзя).

Т.е. если юнит rsyslog не находится в состоянии enabled, то и делать start ему нельзя, он не запустится.

Я так понимаю, это не баг, а фича, и её надо просто описать на wiki, да?

Проверка актуальности. Как автор сам выяснил в комментарии 2: syslog.service — это алиас, который появляется только после `systemctl enable rsyslog`, а syslog.socket без него не стартует. Это штатное поведение systemd, не ошибка.