rsyslog 是一个功能强大的系统日志管理工具，在 Linux 系统中被广泛应用。通过合理配置 rsyslog，您可以高效地管理和处理系统日志。以下是一个详尽的 rsyslog 配置教程，帮助您深入了解其配置方法。
1. 打开 rsyslog 配置文件 ?
rsyslog 的主配置文件通常位于 /etc/rsyslog.conf，而其他配置文件则存放在 /etc/rsyslog.d/ 目录中。
使用文本编辑器打开配置文件，例如使用 nano：
sudo nano /etc/rsyslog.conf
​

解释：sudo 提升权限，nano 是一个简单易用的文本编辑器，/etc/rsyslog.conf 是 rsyslog 的主配置文件路径。

2. 配置日志文件的输入和输出 ??
输入配置
输入配置决定了日志消息的来源。rsyslog 支持多种输入类型，如 TCP、UDP、Syslog 等。配置语法如下：
input(type="im_<input-type>" <input-options>)
​

<input-type>：指定输入类型，例如 tcp、udp、syslog。
<input-options>：输入类型的具体配置选项，如端口号等。

示例：
配置 rsyslog 监听 TCP 514 端口接收日志：
input(type="imtcp" port="514")
​

解释：imtcp 是 TCP 输入模块，port="514" 指定监听的端口号为 514。

输出配置
输出配置决定了日志消息的目的地。配置语法如下：
<output-selector>   <output-type>(<output-options>)
​

<output-selector>：选择器，用于指定发送到哪个输出。* 表示所有消息，或者指定特定的消息标签。
<output-type>：输出类型，如 file、remote、syslog 等。
<output-options>：输出类型的具体配置选项，例如文件路径、远程服务器地址等。

示例：
将所有日志消息写入指定文件：
*.*   /var/log/all_messages.log
​

解释：*.* 表示所有级别和所有设施的日志消息，/var/log/all_messages.log 是日志文件的存放路径。

3. 配置过滤器和动作 ??
过滤器配置
过滤器用于选择要处理的日志消息。通过条件表达式，可以精确控制哪些日志被处理。配置语法如下：
if <filter-expression> then <action>
​

<filter-expression>：条件表达式，用于匹配特定的日志消息。
<action>：匹配后执行的操作，如写入文件或发送到远程服务器。

示例：
将来自 auth 设施且级别为 error 的日志写入特定文件：
if ($syslogfacility-text == 'auth' and $syslogseverity <= 'err') then /var/log/auth_errors.log
​

解释：此表达式匹配所有来自 auth 设施且严重级别不高于 error 的日志消息，并将其写入 /var/log/auth_errors.log 文件中。

动作配置
动作定义了过滤器选择的日志消息的处理方式。配置语法如下：
<action-type>(<action-options>)
​

<action-type>：操作类型，如 file、omfwd（转发）、omstdout（标准输出）等。
<action-options>：操作类型的具体配置选项，例如文件路径、远程服务器地址等。

示例：
将过滤后的日志消息转发到远程服务器：
action(type="omfwd" target="192.168.1.100" port="514" protocol="tcp")
​

解释：omfwd 是转发动作类型，target 指定远程服务器地址，port 指定端口号，protocol 指定使用 TCP 协议进行传输。

4. 重启 rsyslog 服务以应用配置 ?
配置完成后，需要重新加载 rsyslog 服务以使配置生效。使用以下命令重启 rsyslog：
sudo systemctl restart rsyslog
​

解释：systemctl 是用于控制 systemd 系统和服务管理器的工具，restart 命令用于重启指定的服务，这里是 rsyslog。

5. 示例配置详解 ?
以下是一个综合示例，展示如何配置 rsyslog 接收远程日志、过滤特定日志并转发到另一个服务器：
                                    
标签: 

                                    

                                        

                                            

                                                                                                
rsyslog