Linux rsyslog 日志服务及日志转发实践

一、基础知识

rsyslog 是一个开源工具，基于 syslog 协议完成系统日志的处理转发，它可用于接受来自各种来源的输入，转换它们，并将结果输出到不同的目的地。

rsyslog 提供了高性能、强大的安全功能和模块化设计，支持多种输入和输出模块，可以与各种设备和系统集成，例如 syslog、TCP、UDP、TLS 等。同时，它还支持多种过滤和处理规则，可以根据需求定制化日志的存储、转发和处理方式。

查看服务自启动状态，默认开机自启动

systemctl is-active rsyslog

设置开机自启动

systemctl enable rsyslog

禁用开机自启动

systemctl disable rsyslog

启动服务

systemctl start rsyslog

停止服务

systemctl stop rsyslog

重启服务

systemctl restart rsyslog

查看服务状态

systemctl status rsyslog

rsyslog 收集的日志通常存储在 /var/log/ 目录下（具体路径可在配置文件中自定义）

查看文件内容

cat /var/log/messages # 系统通用消息日志

cat /var/log/auth.log # 认证、权限相关日志（如登录、sudo操作）

cat /var/log/syslog # 系统核心日志

分页查看

less /var/log/messages

more /var/log/messages

实时输出日志

tail -f /var/log/messages

tail -n 100 -f /var/log/messages

过滤日志

grep "Error" /var/log/messages

grep -i "failed" /var/log/auth.log

日志收集服务器：在此模式下，rsyslog 进程可以从网络中收集其他主机上的日志数据，这些主机通过 TCP 或 UDP 协议会将日志配置为发送到另外的远程服务器，进行集中存储，方便统一管理。

客户端：在此模式下，rsyslog 可以过滤和发送内部日志消息到本地文件夹（如 /var/log）或一台可以路由到的远程 rsyslog 服务器上。

客户端主机配置：通过 @ 符号，将指定的日志发送到远程主机的514端口，@ 代表 udp，@@ 代表 tcp，*.info 代表所有info级别的日志

*.info @remote_addr:514
服务端主机配置：加载 udp 或者 tcp 模块，然后开启对应的 input 功能

module(load="imudp")

input(type="imudp" port="514")

module(load="imtcp")

input(type="imtcp" port="514")