用 syslog-ng 记录外部设备日志

环境：
ubuntu server 8.04

原因：
以前用系统自带的 syslog 记录外部设备日志，有以下缺陷
1、由于每日生成多个日志文件，日志文件名中不能包含日期，提取十分不便。
2、设备以 local7 发送过来的日志在 syslog 和 messages 中亦记录，采取屏蔽措施后，虽然不记录了，但 syslog 和 messages 亦不再记录本机产生的日志。

方法：
1、安装 syslog-ng
sudo apt-get install syslog-ng
在安装时，会提示删除 syslog 和 klog，没有关系，同意即可。

2、修改 syslog-ng 配置文件
/etc/syslog-ng/syslog-ng.conf

在 sources 段中加入
# nsisg1000 source
source s_nsisg1000 {
        udp();
};

在 destinations 段中加入指令，按照年月日生成文件夹方便管理。按照小时生成日志文件，防止日志文件大小超过文件系统的限制。
destination df_nsisg1000 { file("/var/log/syslog/nsisg1000/$YEAR.$MONTH.$DAY/$HOUR.log"); };

 

在 logs 段中加入，一定要放在 log 段的最前面，否则如果设备日志符合其它 log 条件的话，会记录在其它日志文件中，并且不再向下个 log 条件传递，将导致设备日志变相丢失。
# nsisg1000
log {
        source(s_nsisg1000);
        destination(df_nsisg1000);
};

修改完后，重新启动 syslog-ng
sudo /etc/init.d/syslog-ng restart

3、压缩和删除日志
在 /etc/cron.daily 中建立计划文件 nsisg1000

sudo touch nsisg1000
sudo chmod 755 nsisg1000

内容如下：
#! /bin/sh

gzip /var/log/nsisg1000/`date -d yesterday +%Y.%m.%d`/*.log

它会把前一天的日志文件压缩并删除压缩前的巨大日志文件。