rsyslog服务日志记录——简述规则及原理

1.常用

/etc/rsyslog.conf rsyslog默认配置文件

/etc/rsyslog.d/50-default.conf 默认配置，查看syslog、kern.log等路径

例如：kern 的log输出到/userdata/var/log/kern.log

auth,authpriv.*                 /userdata/var/log/auth.log
*.*;auth,authpriv.none          -/userdata/var/log/syslog
#cron.*                         /userdata/var/log/cron.log
#daemon.*                       -/userdata/var/log/daemon.log
kern.*                          -/userdata/var/log/kern.log
#lpr.*                          -/userdata/var/log/lpr.log
mail.*                          -/userdata/var/log/mail.log
#user.*                         -/userdata/var/log/user.log

2.原理

日志使用的是rsyslog守护进程，基于rsyslog.service，当应用程序和服务、用户管理等通过syslog函数输出日志时，rsyslog进行接收，并根据规则进行存储。

3.配置规则

auth(LOG AUTH) 安全和认证相关消息 (不推荐使用authpriv替代）

authpriv(LOG_AUTHPRIV) 安全和认证相关消息（私有的）

cron (LOG_CRON) 系统定时任务cront和at产生的日志

daemon (LOG_DAEMON) 与各个守护进程相关的曰志

ftp (LOG_FTP) ftp守护进程产生的曰志

kern(LOG_KERN) 内核产生的曰志（不是用户进程产生的）

Iocal0-local7 (LOG_LOCAL0-7) 为本地使用预留的服务

lpr (LOG_LPR) 打印产生的日志

mail (LOG_MAIL) 邮件收发信息

news (LOG_NEWS) 与新闻服务器相关的日志

syslog (LOG_SYSLOG) 存syslogd服务产生的曰志信息（虽然服务名称己经改为reyslogd，但是很多配罝依然沿用了 syslogd服务的，所以这里并没有修改服务名称）

user (LOG_USER) 用户等级类别的日志信息

uucp (LOG_UUCP> uucp子系统的日志信息，uucp是早期Linux系统进行数据传递的协议，后来 也常用在新闻组服务中

配置格式：日志服务[连接符号]日志优先级 日志记录位置

.;auth,authpriv.none -/userdata/var/log/syslog代表记录任何服务、任何优先级、除了auth,authpriv服务不记录，其他都记录在/userdata/var/log/syslog目录

kern.* -/userdata/var/log/kern.log，代表kern服务的任何优先级，都记录在/userdata/var/log/kern.log