linux安装rsyslog服务

• yum安装rsyslog

yum install -y rsyslog

• 启用UDP/TCP进行传输

vi /etc/rsyslog.conf
Provides UDP syslog reception   #若启用UDP进行传输，则取消下面两行的注释
$ModLoad imudp
$UDPServerRun 514
Provides TCP syslog reception   #若启用TCP进行传输，则取消下面两行的注释
#$ModLoad imtcp
#$InputTCPServerRun 514

• 重启rsyslog服务

systemctl restart rsyslog

日志默认存到/var/log/messages目录下

• 优化问题 1： 从客户端发送过来的日志，在主机位置显示自己的主机名，本地查看还是可以的，如果都汇聚到一个服务器了，如何去判断此条消息是哪个服务器发过来的呢，显然要以IP的形式更好一点，下面来设置一下。

vi /etc/rsyslog.conf
GLOBAL DIRECTIVES
Where to place auxiliary files
$WorkDirectory /var/lib/rsyslog
Use default timestamp format
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$template myFormat,"%timestamp% %hostname% %fromhost-ip% %syslogtag% %msg%\n"
$ActionFileDefaultTemplate myFormat

• 优化问题 2： 服务端接收的日志过于分散，是否可疑将日志存放到一个指定的目录里面，进行日志分类存储。
  在/etc/rsyslog.d/新建default.conf

[root@jump]# more /etc/rsyslog.d/default.conf
#### GLOBAL DIRECTIVES ####
# Use default timestamp format  # 使用自定义的格式
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$template myFormat,"%timestamp% %hostname% %fromhost-ip% %syslogtag% %msg%\n"
$ActionFileDefaultTemplate myFormat     
# 根据客户端的IP单独存放主机日志在不同目录，rsyslog需要手动创建
$template RemoteLogs,"/var/log/rsyslog/%hostname%_%fromhost-ip%/%$YEAR%-%$MONTH%-%$DAY%.log"
# 排除本地主机IP日志记录，只记录远程主机日志
:fromhost-ip, !isequal, "127.0.0.1" ?RemoteLogs
# 忽略之前所有的日志，远程主机日志记录完之后不再继续往下记录
& ~

通过使用自定义格式，将不同客户端IP的日志单独存放在不同目录（/var/log/rsyslog目录下）