rsyslog配置

Rsyslog是一个开源软件实用程序，用于UNIX和类Unix计算机系统，用于在IP 网络中转发日志消息，收集日志。它实现了基本的syslog协议，通过基于内容的过滤，丰富的过滤功能，灵活的配置选项扩展了它，并添加了诸如使用TCP进行传输等功能。

一、配置环境
系统：Debian
二、Rsyslog配置
基本上Linux系统都安装Rsyslog服务但没有开启，只需要修改配置文件即可使用。
首先,如果没有安装rsyslog,先要安装rsyslog(sudo apt-get install rsyslog), 确保监听日志发送端口514, 编辑/ect/rsyslog.conf 文件如下:

#provides UDP syslog reception
#$ModLoad imudp
#$UDPServerRun 514

#provides TCP syslog reception
#$ModLoad imtcp
#$InputTCPServerRun 514

修改为:

#provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

#provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

保存并重启服务service rsyslog restart

vim /etc/default/rsyslog. (-r 允许接受外来日志消息. -x 禁用掉dns记录项不够齐全或其他的日志中心的日志)
RSYSLOGD_OPTIONS=”-c5 -r -x”注1
保存退出
重启rsyslog

 service rsyslog restart

查看其是否启动

 netstat -nultp | grep 514

注意查看防火墙是否开放514tcp/udp端口

根据IP保存发送过来的日志只需添加如下配置：

:FROMHOST-IP,isequal, "发送主机IP" 保存路径
:FROMHOST-IP,isequal, "192.168.1.80" /var/log/rsyslog/192.168.1.80/Snort.log
:FROMHOST-IP,isequal, "192.168.1.127" /var/log/rsyslog/192.168.1.127/Ossec.log

注：
1、 加 -r 选项以允许接受外来日志消息# 加 -x 禁用掉dns记录项不够齐全或其他的日志中心的日志# 加 -m 修改syslog的内部mark消息写入间隔时间（0为关闭）。例如-m 180，表示每隔180分钟（每天8次）在日志文件里增加一行时间戳消息# 加 -h 默认情况下，syslog不会发送从远端接受过来的消息到其他主机，而使用该选项，则把该开关打开，所有接受到的信息都可根据syslog.conf中定义的@主机转发过去。