rsyslog配置文档

已于 2022-08-31 15:40:00 修改
阅读量5.6k 收藏 28
点赞数 11
分类专栏： syslog rsyslog 文章标签： 网络 tcp/ip udp
于 2022-08-01 16:04:23 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u013159360/article/details/126103311
版权

rsyslog配置文档

1.rsyslog介绍

Rsyslog的全称是 rocket-fast system for log，它提供了高性能，高安全功能和模块化设计。rsyslog能够接受从各种各样的来源，将其输入，输出的结果到不同的目的地。rsyslog可以提供超过每秒一百万条消息给目标文件。

特点：

1.多线程
2.可以通过许多协议进行传输UDP，TCP，SSL，TLS，RELP；
3.直接将日志写入到数据库;
4.支持加密协议：ssl，tls，relp
5.强大的过滤器，实现过滤日志信息中任何部分的内容
6.自定义输出格式；

2.配置

配置文件/etc/rsyslog.conf主要有3个部分

MODULES ：模块
GLOBAL DRICTIVES :全局设置
RULES：规则

  #rsyslog v3 config file   [兼容版本号]

  #### MODULES ####    加载模块
  $ModLoad imuxsock             # 本地系统日志 (e.g. via logger command) 
  $ModLoad imklog               # provides kernel logging support (previously done by rklogd)

  # 允许514端口接收使用UDP协议转发过来的日志
  #$ModLoad imudp.so
  #$UDPServerRun 514
  # 允许514端口接收使用TCP协议转发过来的日志
  #$ModLoad imtcp.so
  #$InputTCPServerRun 514

  #### GLOBAL DIRECTIVES ####
  # 定义日志格式默认模板  
  $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat  
  # File syncing capability is disabled by default. This feature is usually not required,
  # not useful and an extreme performance hit
  #$ActionFileEnableSync on

  #### RULES ####
  # 关于内核的所有日志都放到/dev/console(控制台)
  #kern.*                                                 /dev/console
  # 记录所有日志类型的info级别以及大于info级别的信息到 /var/log/messages，但是mail邮件信息，authpriv验证方面的信息和cron时间任务相关的信息除外
  *.info;mail.none;authpriv.none;cron.none                /var/log/messages  
  # authpriv验证相关的所有信息存放在/var/log/secure
  authpriv.*                                              /var/log/secure  
  # 邮件的所有信息存放在/var/log/maillog; 这里有一个-符号, 表示是使用异步的方式记录, 因为日志一般会比较大
  mail.*                                                  -/var/log/maillog  
  # 计划任务有关的信息存放在/var/log/cron
  cron.*                                                  /var/log/cron  
  # 记录所有的大于等于emerg级别信息, 以wall方式发送给每个登录到系统的人（* 代表所有在线用户 ）
  *.emerg                                                 * 
  # 记录uucp,news.crit等存放在/var/log/spooler
  uucp,news.crit                                          /var/log/spooler  
  # Save boot messages also to boot.log     启动的相关信息
  local7.*                                                /var/log/boot.log

  #  转发规则
  # remote host is: name/ip:port,  port optional （e.g. 192.168.0.1:514）
  *.*                                                     @@remote-host:514                    
  # @@表示通过tcp协议发送    @表示通过udp进行转发

RULES

facitlity.priority          Target
 
auth         #pam产生的日志，认证日志
authpriv     #ssh,ftp等登录信息的验证信息，认证授权认证
cron         #时间任务相关
kern         #内核
lpr          #打印
mail         #邮件
mark(syslog) #rsyslog服务内部的信息,时间标识
news         #新闻组
user         #用户程序产生的相关信息
uucp         #unix to unix copy, unix主机之间相关的通讯
local 1~7    #自定义的日志设备
===============================================================
#priority: 级别日志级别:
=====================================================================
7 debug           #有调式信息的，日志信息最多
6 info            #一般信息的日志，最常用
5 notice          #最具有重要性的普通条件的信息
4 warning, warn   #警告级别
3 err, error      #错误级别，阻止某个功能或者模块不能正常工作的信息
2 crit            #严重级别，阻止整个系统或者整个软件不能正常工作的信息
1 alert           #需要立刻修改的信息
0 emerg, panic    #内核崩溃等严重信息
none            #什么都不记录
###从上到下，级别从低到高，记录的信息越来越少，如果设置的日志内性为err，则日志不会记录比err级别低的日志，只会记录比err更高级别的日志，也包括err本身的日志。
=====================================================================
Target：
  #文件, 如/var/log/messages
  #用户， root，*（表示所有用户）
  #日志服务器，@172.16.22.1
  #管道        | COMMAND

连接符号

.xxx: 表示大于等于xxx级别的信息
.=xxx：表示等于xxx级别的信息
.!xxx：表示在xxx之外的等级的信息

处理方式

/var/log/file	发送到日志文件
@@192.168.0.1	发送到TCP server
@192.168.0.1	发送到UDP server
user1,user2	    发送到在线用户user1，user2
~		        丢弃该日志
^/path/script	执行的脚本，^后面跟可以执行的脚本，日志内容可以作为脚本的第一个参数，可以用来触发告警

结合使用的 rule 示例：

# 记录mail日志等级为error及以上日志
mail.err							/var/log/mail_err.log

# 记录mail所有等级为warn级别的日志（仅记录warn级别）
mail.=warn							/var/log/mail_err.log

# 记录kern所有日志
kern.*								/var/log/kern.log

# 将mail的所有信息，除了info以外，其他的都写入/var/adm/mail
mail.*;mail.!=info   /var/adm/mail

# 将日志等级为crit或更高的内核消息定向到远程主机finlandia
# 如果主机崩溃，磁盘出现不可修复的错误，可能无法读取存储的消息。如果有日志在远程主机上，可以尝试找出崩溃的原因。
kern.crit    						 @finlandia

# 记录所有类型的warning等级及以上日志
*.warning							/var/log/syslog_warn.log

# 记录mail的warning日志和kern的error日志,其他所有的info日志
*.info;mail.warning;kern.error		/var/log/messages

# 记录kernel的info到warning日志
kern.info;kern.!err   /var/adm/kernel-info

# 将mail和news的info级别日志写入/var/adminfo
mail,news.=info    /var/adm/info

# 将所有系统中所有类型的info日志和notice日志存入/var/log/massages,mail的所有日志除外。
*.=info;*.=notice;\
mail.none /var/log/messages

# 紧急消息（emerg级别）将使用wall显示给当前所有登录的用户
*.=emerg   		*

# 该规则将所有alert以及更高级别的消息定向到操作员的终端，即登录的用户“root”和“joey”的终端。
*.alert      root,joey

属性替代

Rsyslog 预定义了一些属性，来代表消息中的信息，我们可以在定义输出格式、动态文件名的时候使用到这些属性。

属性释义|
msg日志的信息内容，message。
rawmsg不转义的日志内容。转义是默认开启的(EscapecontrolCharactersOnReceive),所以它有可能与socket中接收到的内容不同。
rawmsg-after-pri几乎与rawmsg相同，但是删除了syslog PRI。
hostname打印该日志的主机名。
sourcehostname属性的别名。
fromhost接收的信息来自于哪个节点。这里是DNS解析的名字。
fromhost-ip接收的信息来自于哪个节点，这里是IP，本地的是127.0.0.1。
syslogtag信息标签。大致形如 programed[14321] 。
programnametag的一部分，就是上面的programed那个位置。
pri消息的PRI部分-未解码(单值)
pri-text文本形式的消息的PRI部分，并在括号中添加数值PRI(例如“local0.err<133>”)
iutInfoUnitType 一款监视器软件，在与监视器后端通信的时候使用
syslogfacility设备信息，数字形式表示
syslogfacility-text设备信息，文本形式表示
timegenerated高精度时间戳
timereported日志中的时间戳。精度取决于日志中提供的内容(在大多数情况下，为秒级)
timestamp同 timereported
protocol-versionIETF draft draft-ietf-syslog-protocol 中的 PROTOCOL-VERSION 字段的内容
structured-dataIETF draft draft-ietf-syslog-protocol 中的 STRUCTURED-DATA 字段的内容
app-nameIETF draft draft-ietf-syslog-protocol 中的 APP-NAME 字段的内容
procidIETF draft draft-ietf-syslog-protocol 中的 PROCID 字段的内容
msgidIETF draft draft-ietf-syslog-protocol 中的 MSGID 字段的内容
inputname生成日志的输入模块的名称(如“imuxsock”、“imudp”)
jsonmesg整个日志对象作为json表示。可能出现数据重复，譬如syslogtag包含着programname，但两者都会分别表示。所以这个属性有一些额外开销，建议只有在实际需要的时候再用。

与时间相关的系统属性（以 2020-07-08 16:57:36 为例）

属性释义
$now当前日期时间戳，格式为YYYY-MM-DD (2020-07-08)
$year当前年份， 四位数 (2020)
$month当前月份， 两位数 (07)
$day当前月份的日期，两位数 (08)
$wday当前天数周几 ：0=Sunday,…6=Saturday
$hour当前小时（24小时机制），两位数(16)
$hhour半小时机值，就是0-29分钟显示0，30-59分钟显示1。
$qhour一刻钟机值，通过0-3显示，每15分钟一截。
$minute当前分钟数，两位数(57)

Filter模块

Rsyslog可以使用syslog标准的过滤规则，同时自己添加了一些扩展。比如可以在输出中指定rsyslog自己的处理方式，可以指定输出template

# 过滤日志, 由:号开头
:msg, contains, “error” /var/log/error.log
:msg, contains, “error” ~                # 忽略包含error的日志
:msg, contains, “user nagios”   ~
:msg, contains, “user kadefor”   ~
:msg, contains, “module-alsa-sink.c: ALSA woke us up to write new data to the device, but there was actually nothing to write” ~
local3.*    ~
&   ~                                     # 忽略所有的日志.

模板

通过模板修改日志

vim /etc/rsyslog.conf

# 创建一个名为cky_format的模板，其中 TIMESTAMP:8:15 表示timestamp属性值切片第八位到第十五位。
$template cky_format, "%$NOW% %TIMESTAMP:8:15% %hostname% %syslogseverity-text% %syslogtag% %msg%\n"
$ActionFileDefaultTemplate cky_format

#重启rsyslog
systemctl restart rsyslog

日志格式效果样例

# NOW | timestamp:8:15| hostname| syslogseverity-text | syslogtag | msg
2020-07-09 09:59:54 mycomputer    info    systemd:  Started System Logging Service.
#    时间戳         | 	 主机名   | 日志等级 | 服务进程 |   日志内容

文件存储模板示例

1.排除本地主机IP日志记录，只记录远程主机。

打开/etc/rsyslog.conf文件，启用UDP协议，尽量避免修改主配置文件，我们在/etc/rsyslog.d/中新建default.conf，追加如下模板：

#### GLOBAL DIRECTIVES ####

# Use default timestamp format  # 使用自定义的格式
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$template myFormat,"%timestamp% %fromhost-ip% %syslogtag% %msg%\n"
$ActionFileDefaultTemplate myFormat     

# 根据客户端的IP单独存放主机日志在不同目录，rsyslog需要手动创建
$template RemoteLogs,"/var/log/rsyslog/%fromhost-ip%/%fromhost-ip%_%$YEAR%-%$MONTH%-%$DAY%.log"
# 排除本地主机IP日志记录，只记录远程主机日志
:fromhost-ip, !isequal, "127.0.0.1" ?RemoteLogs
# 忽略之前所有的日志，远程主机日志记录完之后不再继续往下记录
& ~

转发到远程主机

有3种方式转发消息：

传统方式的UDP传输，有损耗

基于TCP明文的传输，只在特定情况下丢失信息，并被广泛使用

RELP传输，不会丢失信息，但只在rsyslogd 3.15.0及以上版本中可用

写法：

UDP 在主机名前加"@"

TCP 在主机名前加"@@"

RELP 在主机名前加":omrelp:"

例： . @192.168.0.1 将所有日志信息通过UDP协议发送到192.168.0.1

linux rsyslog配置文件详解
z19861216的博客
11-13 879
linux rsyslog配置文件详解
系统日志基础及rsyslog配置
qq_40343772的博客
07-01 933
简介     Linux在日常运作中大量服务处理的事务信息需要记录下来，以便于对服务的监控及排错。CentOS 6 专门提供了一个日志处理服务——rsyslogd，它可以将程序产生的日志信息进行过滤、处理并存储到指定 文件/服务器 中，通过编辑其配置文件 /etc/rsyslog.conf 进行一些全局或者日志规则的定义。 rsyslog基本配置 /etc/rsyslog.conf 配置内容主要...
rsyslog配置文件详解（常用的详解，很少用的翻官网罢）--适用v7/v8版本
热门推荐
Vantler的博客
03-05 1万+
rsyslog工具v7/v8版本配置文件详解
【linux】rsyslog日志服务（配置，测试、日志转储）
最新发布
qq_43331089的博客
09-09 2060
Rsyslog的全称是,可用于接受来自各种来源的输入，转换 它们，并将结果输出到不同的目的地。它提供了高性能、强大的安全功能和模块化设计。虽然rsyslog最初是一个常规的系 统日志，但它已经发展成为一种瑞士军刀式的日志记录，当应用有限处理时， RSYSLOG每秒可以向本地目的地发送超过一百万条消息。即使使用远程目的地和更 精细的处理，性能通常被认为是“惊人的”。rsyslog是一个开源工具，被广泛用于Linux系统以通过TCP/UDP协议转发或接收日 志消息。
rsyslog的配置
fengzhw的专栏
06-21 372
rsyslog的rainerscript配置实例
rsyslog详解配置教程
高性价比服务器就选：蓝易云
08-01 1666
通过配置rsyslog，您可以定义日志的来源和目的地，并通过过滤器和动作对日志消息进行处理。可以根据需要添加和调整配置选项，以满足特定的日志管理需求。动作：定义过滤器选择的日志消息的处理方式。过滤器：用于选择要处理的日志消息。输出：配置日志消息的目的地。是特定输出类型的配置选项，例如文件路径、远程服务器地址等。是特定操作类型的配置选项，例如文件路径、远程服务器地址等。输入：配置日志消息的来源。是要执行的操作，如将消息写入文件、发送到远程服务器等。是一个条件表达式，用于选择要匹配的日志消息。
安装、配置rsyslog日志服务器
ly4983的专栏
06-28 3306
v /path/to/your/syslog-ng.conf:/etc/syslog-ng/syslog-ng.conf: 将宿主机上的Syslog-ng配置文件映射到容器内部，用于自定义Syslog-ng的行为。-p 601:601: 将容器的601端口（TCP协议）映射到宿主机的601端口，也是用于接收Syslog消息，但是通过TCP。-p 514:514/udp: 将容器的514端口（UDP协议）映射到宿主机的514端口，用于接收Syslog消息。image: 指定使用的Docker镜像。
rsyslog配置
qq_41459661的博客
08-10 2256
Rsyslog是一个开源软件实用程序，用于UNIX和类Unix计算机系统，用于在IP 网络中转发日志消息，收集日志。它实现了基本的syslog协议，通过基于内容的过滤，丰富的过滤功能，灵活的配置选项扩展了它，并添加了诸如使用TCP进行传输等功能。 一、配置环境 系统：Debian 二、Rsyslog配置 基本上Linux系统都安装Rsyslog服务但没有开启，只需要修改配置文件即可使用。 首先,如...
【rsyslog系列】rsyslog远程接收日志服务器配置文件之TLS双向认证
11-17
搭建rsyslog远程接收日志服务器时，要想要服务器生效，必须按照实际使用场景配置rsyslog的配置文件，该配置文件资源应用于rsyslog v8版本的TLS协议双向认证场景。由于rsyslog v8版本对于v5版本有一些格式上的更新，...
【服务配置文件详解】补充rsyslog服务的配置文件翻译解读
liu_xueyin的博客
11-11 260
第一部分：模块，可以看带哪些模块rpm -ql rsyslog 中以so结尾的，就是可提供的模块。/var/log/lastlog：上一次登录的日志，二进制文件，使用lastlog查看。/var/log/secure：安全认证，可读，比如ssh或者正常的用户登录，身份认证。/var/log/wtmp：登录成功用户的日志，二进制文件，使用last查看。/var/log/messages ：系统大量的日志信息。败用户的日志，二进制文件，使用lastb查看。/var/log/dmesg：设备日志文件。
【rsyslog系列】rsyslog远程接收日志服务器配置文件之UDP/TCP协议
11-17
搭建rsyslog远程接收日志服务器时，要想要服务器生效，必须按照实际使用场景配置rsyslog的配置文件，该配置文件资源应用于rsyslog v8版本的UDP/TCP协议传输场景。由于rsyslog v8版本对于v5版本有一些格式上的更新，...
【rsyslog系列】rsyslog远程接收日志服务器配置文件之TLS单向认证
11-17
搭建rsyslog远程接收日志服务器时，要想要服务器生效，必须按照实际使用场景配置rsyslog的配置文件，该配置文件资源应用于rsyslog v8版本的TLS协议单向认证场景。由于rsyslog v8版本对于v5版本有一些格式上的更新，...
rsyslog官方文档
weixin_30301449的博客
06-13 307
http://www.rsyslog.com/doc/v8-stable/configuration/index.html 转载于:https://www.cnblogs.com/zengkefu/p/5579279.html
【Linux】rsyslog配置内容大全
zclinux的博客
02-01 609
下文中将rsyslog中常见配置均已列出，作为后期参考内容。
rsyslog配置以及原理
2201_76119904的博客
12-12 478
日志由程序产生，在内存中产生。通过Rsyslog来将内存中程序产生的日志持久化到硬盘，并且支持udp、tcp等协议来进行不同服务器的日志同步。
rsyslog配置文件详解（rsyslog.conf）
weixin_30433075的博客
04-27 889
# rsyslog configuration file # For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html # If you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html #### ...
rsyslog 配置详解
weixin_30810583的博客
08-12 227
格式:: 日志设备(类型).(连接符号)日志级别 日志处理方式(action) 日志设备(可以理解为日志类型): ———————————————————————- auth –pam产生的日志 authpriv –ssh,ftp等登录信息的验证信息 cron –时间任务相关 kern –内核 lpr –打印 mail ...
怎么配置rsyslog 配置文件不让内存增加
07-14
要配置 rsyslog 的配置文件，以避免内存不断增加，可以采取以下几个步骤： 1. 减少日志的产生量：通过修改日志的级别，可以控制系统生成的日志数量。可以将不必要的日志级别调整为较低的级别，从而减少日志的产生量。在 rsyslog 配置文件中，你可以设置每个日志规则的级别。 2. 设置日志的保存周期：通过设置日志文件的保存周期，可以限制日志文件的大小和数量。你可以在 rsyslog 配置文件中为每个日志规则设置保存周期，例如，使用 `maxsize` 和 `rotate` 参数来控制日志文件的大小和数量。 3. 使用适当的输出方式：rsyslog 提供了多种输出方式，如本地文件、远程服务器和数据库等。你可以根据需求选择适当的输出方式，以避免内存占用过高。例如，可以将一些日志直接输出到文件，而不是全部保存在内存中。 4. 定期重启 rsyslog 服务：由于可能存在内存泄漏或其他问题，定期重启 rsyslog 服务可以释放占用的内存并重新加载配置文件。你可以设置定时任务或者手动定期重启服务。 5. 根据系统资源限制进行调整：如果系统对进程的内存限制较低，可以修改系统的资源限制，以便 rsyslog 进程有足够的内存使用。 以上是一些常见的配置方法，可以帮助你控制 rsyslog 的内存占用。根据你的具体需求和系统环境，可以灵活调整配置。如果有其他问题，请随时提问！
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值