Linux系统配置Syslog客户端

syslog服务器可以用作一个网络中的日志监控中心，所有能够通过网络来发送日志的设施（包含了Linux或Windows服务器，路由器，交换机以及其他主机）都可以把日志发送给它。 通过设置一个syslog服务器，可以将不同设施/主机发送的日志，过滤和合并到一个独立的位置，这样使得你更容易地查看和获取重要的日志消息。

rsyslog 作为标准的syslog守护进程，预装在了大多数的Linux发行版中。
在客户端/服务器架构的配置下，rsyslog同时扮演了两种角色：
1.作为一个syslog服务器，rsyslog可以收集来自其他设施的日志信息；
2.作为一个syslog客户端，rsyslog可以将其内部的日志信息传输到远程的syslog服务器。

syslog服务器就是一个udp服务，一般会做自定义开发，这里服务端不作详细说明，只研究客户端的配置。

当我们采用syslog客户端采集设备的日志时，一般从三个角度来实现：who，how，where，即采集那个部件的日志，按那个方式采集（过滤级别），送到那个服务端。现在，我们从这三方面来进行syslog客户端的配置。

设施分类定义了一种用来对内部系统进程进行分类的方法，linux中的一些常见的设施包括:

auth: 身份验证相关的消息（登录时）
cron: 进程或应用调度相关的消息
daemon: 守护进程相关的消息（内部服务器）
kernel: 内核相关的消息
mail: 内部邮件服务器相关的消息
syslog: syslog 守护进程本身相关的消息
lpr: 打印服务相关的消息
local0 - local7: 用户自定义的消息 （local7 通常被Cisco 和 Windows 服务器 使用）

日志级别有固定的标准缩写和指代的值，最高为7级，这些级别包含了：

emerg: Emergency（紧急）- 0
alert: Alerts （报警）- 1
crit: Critical (关键）- 2
err: Errors （错误）- 3
warn: Warnings （警告）- 4
notice: Notification （通知）- 5
info: Information （消息）- 6
debug: Debugging （调试）- 7

目标语句：目标语句用于标识日志的目的地，分别为：

保存日志消息到一个本地文件；
通过TCP/UDP将消息路由到远程的syslog服务器中；
将其发送到一个标准输出中，例如控制台。

在 rsyslog里, syslog的配置是基于以下模式进行结构化的。

[facility-level].[severity-level] [destination]

CentOS上配置rsyslog客户端用以远程记录日志：

rsyslog是一个开源工具，被广泛用于Linux系统以通过TCP/UDP协议转发或接收日志消息。rsyslog守护进程可以被配置成两种环境，一种是配置成日志收集服务器，rsyslog进程可以从网络中收集其它主机上的日志数据，这些主机会将日志配置为发送到另外的远程服务器。rsyslog的另外一个用法，就是可以配置为客户端，用来过滤和发送内部日志消息到本地文件夹（如/var/log）或一台可以路由到的远程rsyslog服务器上。

步骤一： 安装Rsyslog守护进程

在CentOS 6和7上，rsyslog守护进程已经预先安装了。要验证rsyslog是否已经安装到你的CentOS系统上，请执行如下命令：

rpm -qa | grep rsyslog
rsyslog-8.24.0-16.ky3.kb3.x86_64

rsyslogd -v
rsyslogd 8.24.0, compiled with:
	PLATFORM:				x86_64-kylin-linux-gnu
	PLATFORM (lsb_release -d):		
	FEATURE_REGEXP:				Yes
	GSSAPI Kerberos 5 support:		Yes
	FEATURE_DEBUG (debug build, slow code):	No
	32bit Atomic operations supported:	Yes
	64bit Atomic operations supported:	Yes
	memory allocator:			system default
	Runtime Instrumentation (slow code):	No
	uuid support:				Yes
	Number of Bits in RainerScript integers: 64

See http://www.rsyslog.com for more information.

步骤二： 配置Rsyslog守护进程为客户端

2.1用文本编辑器打开位于/etc路径下的rsyslog主配置文件：

vim /etc/rsyslog.conf

2.2用文件编辑器打开文件后，添加以下声明到文件底部，将IP地址替换为你的远程rsyslog服务器的IP地址。

*.* @192.168.1.25:514

如果需要更为可靠的协议，如TCP，而rsyslog服务器也被配置为监听TCP连接，可以在远程主机的IP地址前添加一个额外的@字符，像下面这样：

*.* @@192.168.1.25:514 

注意：也可以将rsyslog服务器的IP地址替换成它的主机名（FQDN）。

如果你只想要转发服务器上的指定设备的日志消息，比如说内核设备，那么你可以在rsyslog配置文件中使用以下声明：

kern.* @192.168.1.25:514 

2.3修改配置文件后，需要重启进程以激活修改：

CentOS 7：

systemctl restart rsyslog.service 

CentOS 6：

service rsyslog restart 

2.4非 syslog 日志的转发：

若需要发送非syslog 的日志，列如：假定在机器上安装了一个名为“foobar”的应用程序，它会在/var/log下生成foobar.log日志文件。现在，需要将它的日志定向到rsyslog服务器，这可以通过像下面这样在rsyslog配置文件中加载imfile模块来实现。

1）首先，加载imfile模块，这只需做一次。

module(load="imfile" PollingInterval="5") 

2）然后，指定日志文件的路径以便imfile模块可以检测到：

input(type="imfile"
File="/var/log/foobar.log"
Tag="foobar"
Severity="error"
Facility="local7")

3）最后，定向local7设备到远程rsyslog服务器：

local7.* @192.168.1.25:514

4）重启syslog进程

步骤三： 让Rsyslog进程自动启动

CentOS 7：

systemctl enable rsyslog.service 

CentOS 6：

chkconfig rsyslog on