Linux日志集中管理：rsyslog配置指南 | linux-tutorial
项目地址: https://gitcode.com/GitHub_Trending/lin/linux-tutorial 在Linux系统运维中，日志分散存储在多台服务器会导致故障排查困难。rsyslog作为系统默认日志守护进程（Daemon），可实现跨主机日志集中收集，帮助运维人员快速定位问题。本文将分步骤讲解rsyslog服务端与客户端配置，结合项目中ELK日志分析方案，构建完整日志管理体系。
一、rsyslog基础与架构
rsyslog（ rocket-fast system for log processing）是一个高性能日志收集工具，支持UDP/TCP协议及多种日志格式。其工作流程包括：
- 日志产生：应用程序或系统组件生成日志
- 本地转发：通过Unix Socket或管道发送至rsyslog
- 集中收集：客户端通过网络传输至服务端
- 持久化存储：写入文件或转发至ELK等分析平台
项目中提供的ELK方案可作为rsyslog的下游系统，相关配置见docs/linux/soft/elastic/elastic-logstash.md。
二、服务端配置（日志收集中心）
2.1 安装与启动服务
# 检查是否安装rsyslog
rpm -qa | grep rsyslog
# 启动并设置开机自启
systemctl start rsyslog
systemctl enable rsyslog
2.2 配置文件修改
编辑主配置文件/etc/rsyslog.conf，开启TCP/UDP接收模块：
# 启用UDP接收
module(load="imudp")
input(type="imudp" port="514")
# 启用TCP接收（推荐，保证日志完整性）
module(load="imtcp")
input(type="imtcp" port="514")
2.3 定义日志存储规则
在/etc/rsyslog.d/目录下创建remote.conf：
# 按客户端IP和日期存储
$template RemoteLog,"/var/log/remote/%FROMHOST-IP%/%$YEAR%-%$MONTH%-%$DAY%.log"
*.* ?RemoteLog
& ~ # 停止处理后续规则
三、客户端配置（日志发送端）
3.1 配置日志转发目标
编辑客户端/etc/rsyslog.conf，添加转发规则：
# 发送所有日志到服务端（IP替换为实际服务端地址）
*.* @@192.168.1.100:514 # TCP协议
# *.* @192.168.1.100:514 # UDP协议（可选）
3.2 应用程序日志集成
以Redis为例，修改配置文件启用syslog日志输出：
# 打开Redis配置 [codes/linux/soft/config/redis/redis.conf](https://link.gitcode.com/i/b14e331bbba657446703ff48287d694c)
syslog-enabled yes
syslog-ident redis
syslog-facility local0
重启Redis后，日志将同时发送至本地文件和rsyslog服务端。
四、日志分析与可视化
收集到的日志可通过ELK栈进行深度分析：
- Logstash解析：使用ELK配置文件处理结构化日志
- Kibana可视化：创建日志仪表盘监控系统状态
- 告警配置：设置关键字告警（如"ERROR"、"Failed"）
五、常见问题排查
5.1 网络连通性测试
# 服务端检查端口监听
netstat -tuln | grep 514
# 客户端发送测试日志
logger -t test "rsyslog test message"
5.2 配置验证工具
rsyslogd -N1 # 检查配置文件语法
六、扩展方案
对于大规模集群，可结合项目中的ELK脚本实现自动化部署：
通过rsyslog+ELK组合，可实现日志从产生、传输、存储到分析的全流程管理，显著提升系统可观测性。完整配置示例及更多运维脚本见项目linux-tutorial代码库。
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
