（初学）rsyslog：日志的定向采集与远程同步

系统日志管理

一。日志的定向采集
1.rsyslog 采集系统日志

2.rsyslog的管理
/var/log/cron 定时任务日志
/var/log/secure登陆系统日志
/var/log/message服务信息日志
/var/log/maillog邮件日志
/var/log/boot.log系统启动日志

指定日志采集路径
/etc/rsyslog.conf

日志采集规则
日志类型.日志级别 放置文件的具体路径

日志类型

auth pam	产生的日志
authpriv	ssh，ftp等登陆信息的验证信息
cron	时间任务相关
kern	内核
lpr	打印
mail	邮件
mark（syslog）-rsyslog	服务内部的信息，时间标识
news	新闻组
user	用户程序产生的相关信息
uucp	unix to unix copy，主机间相关通讯拷贝
local 1～7	自定义的日志设备

日志级别

debug // 有调试信息的，日志信息最多
info // 一般信息的日志 最常用
notice // 最具有重要性的普通条件的信息

warning  // 警告级别
err  // 错误级别，阻止某个功能或者模块不能正常运行的信息
crit  // 严重级别 阻止整个系统或者整个软件不能正常运行的信息
alert  // 需要立即修改的信息
emerg  // 内核崩溃等严重信息

none // 什么都不记录

注
从上到下，级别从低到高，记录的信息越来越少
详细的可以查看手册：man 3 syslog

日志的远程同步

在日志发送方：

vim/etc/rsyslog.conf

*.* @接收方ip
@表示udp协议发送。@@表示tcp协议发送

systemctl restart rsyslog 重启使生效

在日志接收方

vim /etc/rsyslog.conf

$ModLoad imudp 日志接收模块
$UDPServerRun 514 开启接收端口
（15、16行左右）

systemctl restart rsyslog重启使生效
systemctl stop firewalld 关闭火墙
ststemctl disable firewalld 设定火墙开机关闭