日志同步传输和分类存放

一、日志同步传输

        服务端（接收日志）

1、修改日志服务配置文件

vim /etc/rsyslog.conf

14# Provides UDP syslog reception（想接收UDP协议，就把下面两行注释删除）

15 #$ModLoad imudp

16 #$UDPServerRun 514

17

18 # Provides TCP syslog reception（想接收TCP协议，就把下面两行注释删除）

19 #$ModLoad imtcp

       20 #$InputTCPServerRun 514

保存退出，并重置服务

systemctl restart rsyslog.conf

2、查看514端口状态

                netstat -lntup | grep 514

客户端（发送日志）

1、修改日志配置文件

                vim /etc/rsyslog.conf

把90行的命令复制两次

*.* @@remote-host:514（TCP）

*.* @remote-host:514（UDP）

第一个*表示的是发送的日志类别（*表示发送所有日志）

第二个*表示的是发送日志的级别（*表示全级别）

@表示发送UDP协议

@@表示发送TCP协议

Remote-host就是服务端的地址

保存退出后，同样重启服务

二、测试

            1、服务端首先把防火墙关闭

              systemctl stop firewalld.service

             2、监听日志

tail -f /var/log/messages

tail默认显示十行文件的末尾内容

                -f 显示文件最新追加的内容

3、客户端输入logger test1

4、服务端就可以看到client的日志已经同步过来了

三、同步过来的日志实现分类存放

        1、修改服务端的配置文件

        vim /etc/rsyslog.conf

        在# ### begin forwarding rule ###模块中添加一条命令

        :fromhost-ip,isequal,"192.168.91.134" /var/log/client/client.log

         （如果是root用户配置的，那么client文件夹就会自动建立）

192.168.91.134是客户端的IP地址

 /var/log/client/client.log是服务端建立的接收客户端日志的文件夹

保存退出，重启服务

Systemctl restart rsyslog.service

        2、客户端输入logger test2

        3、服务端查看

        

来自客户端的日志文件被单独存放到一个文件夹里了，这样更方便管理。