Rsyslog介绍
Rsyslog的全称是 rocket-fast system for log，它提供了高性能，高安全功能和模块化设计。rsyslog能够接受从各种各样的来源，将其输入，输出的结果到不同的目的地。rsyslog可以提供超过每秒一百万条消息给目标文件。
特点
- 多线程
- 可以通过许多协议进行传输UDP，TCP，SSL，TLS，RELP；
- 直接将日志写入到数据库;
- 支持加密协议：ssl，tls，relp
- 强大的过滤器，实现过滤日志信息中任何部分的内容
- 自定义输出格式；
Rsyslog搭建
rsyslog-server 10.10.10.61 收集服务器：服务端
rsyslog-client 10.10.10.67 发送服务器：客户端rsyslog-server搭建-在服务端操作
# 安装rsyslog
[root@rsyslog-server ~]# yum -y install rsyslog
# 备份配置文件
[root@rsyslog-server ~]# cp /etc/rsyslog.conf{,.bak}
# 修改配置文件
[root@rsyslog-server ~]# vim /etc/rsyslog.conf
# 打开注释
$ModLoad imudp # 使用udp协议，也可以使用tcp协议
$UDPServerRun 514 # 开启514端口
#### GLOBAL DIRECTIVES ####
# Use default timestamp format # 使用自定义的格式
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$template myFormat,"%timestamp% %fromhost-ip% %syslogtag% %msg%\n"
$ActionFileDefaultTemplate myFormat
# 根据客户端的IP单独存放主机日志在不同目录，rsyslog需要手动创建
$template RemoteLogs,"/var/log/rsyslog/%fromhost-ip%/%syslogtag%_%$YEAR%-%$MONTH%-%$DAY%-%$hour%:%$minute%.log"
# 排除本地主机IP日志记录，只记录远程主机日志
:fromhost-ip, !isequal, "127.0.0.1" ?RemoteLogs
# 忽略之前所有的日志，远程主机日志记录完之后不再继续往下记录
& ~
# 重启rsyslog服务
[root@rsyslog-server ~]# systemctl restart rsyslogrsyslog-client-在客户端操作
[root@rsyslog-client ~]# yum install -y rsyslog httpd
# 良好的习惯，从备份配置文件开始
[root@rsyslog-client ~]# cp /etc/rsyslog.conf{,.bak}
# 修改配置文件
[root@rsyslog-client ~]# vim /etc/rsyslog.conf
# 打开注释
# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514
#设置日志服务器地址
*.* @10.10.10.61:514
开始测试
服务端操作
# 服务端检查日志输出
[root@rsyslog-server ~]# tail /var/log/messages
Apr 27 15:10:25 server systemd: Started Session 5 of user root.
Apr 27 15:10:30 web systemd: Stopping The Apache HTTP Server...
Apr 27 15:10:30 web kernel: xfs filesystem being remounted at /tmp supports timestamps until 2038 (0x7fffffff)
Apr 27 15:10:30 web kernel: xfs filesystem being remounted at /var/tmp supports timestamps until 2038 (0x7fffffff)
Apr 27 15:10:31 web systemd: Stopped The Apache HTTP Server.
Apr 27 15:10:31 web systemd: Starting The Apache HTTP Server...
Apr 27 15:10:31 web kernel: xfs filesystem being remounted at /tmp supports timestamps until 2038 (0x7fffffff)
Apr 27 15:10:31 web kernel: xfs filesystem being remounted at /var/tmp supports timestamps until 2038 (0x7fffffff)
Apr 27 15:10:31 web httpd: AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 10.0.0.14. Set the 'ServerName' directive globally to suppress this message
Apr 27 15:10:31 web systemd: Started The Apache HTTP Server.客户端操作
# 客户端重启httpd
[root@rsyslog-client ~]# systemctl restart httpd
# 生成示例日志
logger -p "mail.info" "this is test log"
在服务端查看日志目录，发现有67的日志文件
