rsyslog_learning

rsyslog系统自带的日志服务

syslogd是Linux下的一个记录日志文件服务。从结构来说，可以理解为这个服务下面有一系列的子服务，例如mail、auth、cron、kern等等，这些子服务对外提供日志记录的功能，而当其它的程序或服务需要记录日志的时候，就可以直接调用这些子服务将日志记录到设定的地方。而配置这整个守护进程以及其子服务的地方就是/etc/syslog.conf这个文件。

rsyslog是syslogd的升级版，目前许多linux发行版已经自带rsyslog来取代syslog，以下为ubuntu16.4为例

rsyslog整体架构

Rsyslog消息流：输入模块——>预处理模块——>主队列——>过滤模块——>执行队列——>输出模块

• 输入模块： imklg、imsock、imfile，即消息来源
• 与处理模块：主要解决各种syslog协议实现间的差异
• 主队列：存储未经过滤的消息
• 过滤模块：根据需求过滤消息
• 执行队列：存储过滤好的各个模块的消息
• 输出模块：omudp 、omtcp、omfile、ommysql

rsyslog配置文件

/etc/rsyslog.conf

$ModLoad imuxsock # provides support for local system logging
$ModLoad imklog   # provides kernel logging support
$KLogPermitNonKernelFacility on
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$RepeatedMsgReduction on
$FileOwner syslog
$FileGroup adm
$FileCreateMode 0640
$DirCreateMode 0755
$Umask 0022
$PrivDropToUser syslog
$PrivDropToGroup syslog
$WorkDirectory /var/spool/rsyslog
$IncludeConfig /etc/rsyslog.d/*.conf

/etc/rsyslog.d/50-default.conf

auth,authpriv.*         /var/log/auth.log
*.*;auth,authpriv.none      -/var/log/syslog # *.*表示默认所有log都放到syslog
kern.*              -/var/log/kern.log   # - 表示异步输入
mail.*              -/var/log/mail.log    # mail.*表示mail的所有级别都输入mail.log
mail.err            /var/log/mail.err     # mail.err表示err级别的日志输入mail.err
news.crit           /var/log/news/news.crit
news.err            /var/log/news/news.err
news.notice         -/var/log/news/news.notice
*.emerg                                :omusrmsg:*
daemon.*;mail.*;\
    news.err;\
    *.=debug;*.=info;\
    *.=notice;*.=warn   |/dev/xconsole

日志设施
- auth(security), authpriv: 授权和安全相关的消息
- kern: 来自Linux内核的消息
- mail: 由mail子系统产生的消息
- cron: cron守护进程相关的信息
- daemon: 守护进程产生的信息
- news: 网络消息子系统
- lpr: 打印相关的日志信息
- user: 用户进程相关的信息
- local0 to local7: 保留，本地使用
日志级别有(升序)：
- debug：包含详细的开发情报的信息，通常只在调试一个程序时使用。
- info：情报信息，正常的系统消息，比如骚扰报告，带宽数据等，不需要处理。
- notice： 不是错误情况，也不需要立即处理。
- warning： 警告信息，不是错误，比如系统磁盘使用了85%等。
- err：错误，不是非常紧急，在一定时间内修复即可。
- crit：重要情况，如硬盘错误，备用连接丢失。
- alert：应该被立即改正的问题，如系统数据库被破坏，ISP连接丢失。
- emerg：紧急情况，需要立即通知技术人员。

自定义模板

模板允许你指定日志信息的格式，可用于生成动态文件名，或在规则中使用。其定义如下所示，其中TEMPLATE_NAME是模板的名字,PROPERTY是rsyslog本身支持的一些属性参数。

$template googlecloudformat, "%rawmsg%\n"
$template googlecloudDailyPerHostLogs,"/mnt/logs/googlecloud.log"

:msg, contains, "googlecloud"  -?googlecloudDailyPerHostLogs;googlecloudformat

定义模板，将包含googlecloud关键字的log，输出到指定的文件内