rsyslog 系统日志转发

y_zilong

已于 2022-01-19 09:16:44 修改

阅读量1.4k

点赞数 1

文章标签： rsyslog

于 2021-11-30 17:13:14 首次发布

本文链接：https://blog.youkuaiyun.com/y_zilong/article/details/121637761

版权

本文详细介绍了如何配置存储端服务器的rsyslog.conf以接收并分类远程日志，同时展示了客户端如何设置模板和目标服务器。涉及UDP/TCP监听、模板定义、远程主机过滤及CentOS系统的重启操作。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1、存储端服务器

vim /etc/rsyslog.conf 

#开启udp，tcp和udp 可以共存的
# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

#允许30.0网段内的主机以tcp协议来传输
#$AllowedSender tcp, 192.168.30.0/24 

#定义模板，接受日志文件路径，区分了不同主机的日志
$template Remote,"/data/syslogbak/%$YEAR%-%$MONTH%-%$DAY%/aspire-%rawmsg:F,32:1%-%fromhost-ip%.log"

# 排除本地主机IP日志记录，只记录远程主机日志
# 注意此规则需要在其它规则之前，否则配置没有意义，远程主机的日志也会记录到Server的日志文件中
& ~ # 忽略之前所有的日志，远程主机日志记录完之后不再继续往下记录
:fromhost-ip, !isequal, "127.0.0.1" ?Remote
& ~ 

#重启
systemctl restart rsyslog

#创建日志目录，尽量选择系统内比较大的区域创建，因为考虑到要存放很多服务器的日志文件
mkdir -pv /data/syslogbak

2、客户端服务器

#打标签
echo '$template own_template,"biaoqianming %syslogtag% %rawmsg% \n"' >> /etc/rsyslog.conf 

#迁移的主机
echo '*.* @@192.168.30.142:514;own_template' >> /etc/rsyslog.conf

#保存日志的期限，4周改为保存180天
sed -i 's/rotate 4/rotate 26/' /etc/logrotate.conf

#重启
#centos6
/etc/init.d/rsyslog restart
#centos7
systemctl restart rsyslog

#测试udp网络
#四层
nc -vuz 192.168.30.142 514
#七层
nc -uvvn 192.168.30.142 514