syslog与syslog服务器的配置

1. 前言

 

syslog是UNIX系统中提供的一种日志记录方法(RFC3164)，syslog本身是一个服务器，程序中凡是使用syslog记录的信息都会发送到该服务器，服务器根据配置决定此信息是否记录，是记录到磁盘文件还是其他地方，这样使系统内所有应用程序都能以统一的方式记录日志，为系统日志的统一审计提供了方便。

 

2. 日志格式

 

syslog记录的日志格式为：

月 日 时:分:秒 主机名 标志 日志内容

 

3. syslog编程

 

为记录日志，通常用到3个函数，openlog(3)，syslog(3)和closelog(3)，openlog(3)和closelog(3)不是必须的，没有openlog(3)的话将用系统缺省的方式记录日志。

 

      #include <syslog.h>

      void openlog( char *ident, int option, int  facility)

      void syslog( int priority, char *format, ...)

      void closelog( void )

 

openlog(3)有三个参数，第一个参数是标志字符串，也就是日志中的第5个字段，不设的话缺省取程序名称；

第二个参数是选项，是下面一些标志位的组合：
       LOG_CONS：日志信息在写给日志服务器的同时打印到终端
       LOG_NDELAY：立即记录日志
       LOG_PERROR：把日志信息也输出到标准错误流
       LOG_PID：在标志字段中记录进程的PID值

第三个参数是说明日志类型的，定义了以下类型：

  

syslog(3)函数主要的是第一个参数priority，后面那些参数就是和printf(3)函数用法一样了，priority值表示该条日志的级别，日志级别分8级，由高到低的顺序为：
  

 

如果openlog(3)时没有指定facility，是可以把facility的值或到priority中的，如(LOG_AUTH | LOG_INFO)，已经设置了就可以不用或了。

 

closelog(3)这个没啥好说的了，关闭日志记录。

4. syslog服务器配置

 

syslog服务器的配置文件为/etc/syslog.conf，syslog(3)函数把想记录的日志信息都发送给日志服务器，但此日志最终是否记录到文件或发送给远程服务器，则是由此配置文件来决定的，该配置文件就是告诉日志服务器要记录那些类型和级别的日志，如何记录等信息。

 

配置文件是文本文件，每行配置分两个字段，第一字段是说明要记录哪类日志，第二字段是说明日志存放位置，可以是本地文件，也可以是远程服务器。

 

第一字段：
第一字段基本格式是“facility.priority”，可以同时定义多个，中间用逗号“,”或分号“;”分隔。
facility名称就是上面说的facility值的后半部的小写，如news, mail，kern, cron等，也可以用“*”表示所有facility类型；
priority名称就是上面说的priority值的后半部的小写，如emerg, alert，err, info等，也可以用“*”表示所有priority类型，比此级别高的日志都会自动记录，用none表示不记录；

举例：
kern.* : 所有级别的内核类型日志
mail.err: 错误及错误级别以上的mail类型日志

如果不记录某级别的日志，在级别前加“!”，如：
auth.info;auth.!err ：info及info级别以上但不包括err级别的auth类型日志

第二字段：
第二字段分两类，本地文件和远程服务器
本地文件：直接就是写本地文件的文件名，如 /var/log/messages。一般来说日志信息会立即写到文件中，但会降低系统效率，可以在文件名前加减号“-”表示先将信息缓存，到一定量后再一次性写入文件，这样可以提高效率；
远程服务器：格式是“@address”，“@”表示进行远程记录，将日志发送到远程的日志服务器，日志服务器的端口是UDP514，address可以是IP地址，也可以是域名

 

举例：

# 将所有级别的内核日志发送到终端
kern.*  /dev/console 

 

# 将所有类型所有级别的日志记录到/var/log/messages文件
*.* /var/log/messages

 

# 所有info级别以上的信息，不包括mail类型所有级别和authpriv类型的err级别信息，

# 记录到/var/log/messages文件，不立即写入
*.info;mail.none;authpriv.!err       -/var/log/messages

 

#将所有级别的内核日志发送到远程syslog服务器
kern.*  @1.1.1.1

 

5. syslog服务器

 

在linux下提供了sysklogd的syslog服务器的实现，可以记录本机日志也可以接收(syslogd的-r选项)和转发(syslogd的-h选项)来自外部的日志。

 

sysklogd包括两个程序，klogd和syslogd，klogd用于接收内核日志，再发送到syslogd，syslogd则可以直接接收应用程序和远程的日志，syslogd是通过一个域socket(AF_UNIX)来接收数据的，syslog()函数记录的日志都发送到此域socket，socket文件是/dev/log。

 

syslog(3)函数发送给syslogd服务器的日志信息前都加上了类型和级别信息，具体格式是“<x>”，“x”是一个0～255的数，8位，低3位表示日志级别，所以共8级，高五位表示日志类型，最多32种，不过目前没用到那么多，可以看看/usr/include/sys/syslog.h中的定义就知道了。

 

要生成日志信息时，syslogd是先生成日志前部信息：月 日 时:分:秒 主机名 标志，再和日志内容信息拼接起来的，日期用ctime(3)函数获取，隐去了前4个表示星期的字节和后面年的信息，最终生成你所看到的日期格式，老实说那段代码及其丑陋。

 

6. 结论

 

syslog方便了程序信息的记录，由于使用了统一的格式记录使得审计也可以比较方便。要记录日志，除了在应用程序中用syslog(3)函数记录外，还要正确配置/etc/syslog.conf文件，使服务器能正确记录那些想记录的日志。