linux中怎么配置syslog實現日志轉發

本篇內容介紹了“linux中怎么配置syslog實現日志轉發”的有關知識，在實際案例的操作過程中，不少人都會遇到這樣的困境，接下來就讓小編帶領大家學習一下如何處理這些情況吧！希望大家仔細閱讀，能夠學有所成！

一、syslog協議

      linux系統中大部分日志是通過一種syslog機制產生和維護的。syslog是一種協議，分為客戶端和服務器端。客戶端產生日志，服務器端接收日志。并對接收的日志做出保存到文件或其他方式的處理。

       在linux中，常見syslog服務器端程序是syslogd守護進程。這個程序從三個地方接收日志

        【1】: unix域套接字 /dev/log

        【2】：udp端口514

        【3】：特殊的設備 /dev/klog

         相應的，產生日志的消息的程序就需要通過上述三種方式寫入消息。對于大多數程序而言就是向/dev/log這個套接字發送日志消息。

         在unix操作系統上，syslog廣泛用于系統日志。syslog日志消息既可以記錄在本地文件中，也可以通過網絡發送到syslog的服務器。接收syslog的服務器可以對多個設備的syslog消息進行統一存儲。或者解析其中的內容做相應的處理。常見的應用場景是網絡管理工具，安全管理系統，日志管理系統。 完整的syslog日志包含

           【1】：產生日志的程序模塊

           【2】：嚴重性

           【3】：時間

           【4】：主機名或IP

           【5】：進程名

           【6】：進程ID

           【7】：正文

        在2001年定義的RFC3164中，描述了BSD syslog協議：http://www.ietf.org/rfc/rfc3164.txt，不過這個規范的很多內容都不是強制性的，常常是“建議”或者“約定”，也由于這個規范出的比較晚，很多設備并不遵守或不完全遵守這個規范。接下來就介紹一 下這個規范。

       約定發送syslog的設備為Device，轉發syslog的設備為Relay，接收syslog的設備為Collector。Relay本身也可以發送自身的syslog給Collector，這個時候它表現為一個Device。Relay也可以只轉發部分接收到的syslog消息，這個時候它同時表現為Relay和Collector。

       syslog消息發送到Collector的UDP 514端口，不需要接收方應答，RFC3164建議 Device 也使用514作為源端口。規定syslog消息的UDP報文不能超過1024字節，并且全部由可打印的字符組成。完整的syslog消息由3部分組成，分別是PRI、HEADER和MSG。大部分syslog都包含PRI和MSG部分，而HEADER可能沒有。

二、配置syslog服務端和客戶端，實現日志轉發

      環境：ubantu16.04

     1、服務端

          <1> 修改/etc/default/rsyslog

              > 修改/etc/sysconf/syslog 修改SYSLOGD_OPTIONS為 "-r -x -m 0" 

                        -r表示允許接收外來的消息

                        -x表示不解析DNS,

                        -m 0表示時間戳標記間隔,

                        如果指定只接受某個或多個ip過來的日志，例"-s 168.1.1.1:168.1.1.2"

              > 修改/etc/rsyslog.conf

                 取消注釋：

$ModLoad imudp.so
                          $UDPServerRun 514

                 在文件末尾添加這兩句

syslog.info;syslog.!err;syslog.!crit;syslog.!alert       /var/log/mylog      #info信息記錄到日志服務器的/var/log/mylog中
                         syslog.err                                           /var/log/testerror    #error信息記錄到日志服務器的/var/log/testerror中  2 、客戶端

          修改/etc/syslog.conf  添加

              取消注釋：

$ModLoad imudp.so
                          $UDPServerRun 514

             在末尾增加這兩句
                         syslog.info   @IP（IP為服務端IP地址）

3、服務重啟

4、測試

  在客戶端運行下面代碼，可在服務端/var/log/mylog中看到日志已經存入到服務端

#include <stdio.h>
#include <syslog.h>
int main(int argc, char* argv[])
{
        //openlog(argv[0], LOG_CONS | LOG_PID, LOG_USER);
        int count = 0;
        while(count<5){
                syslog(LOG_SYSLOG|LOG_INFO, "%d:, syslog user test", count);
                count++;
        }
        //closelog();
        return 0;
}

“linux中怎么配置syslog實現日志轉發”的內容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業相關的知識可以關注億速云網站，小編將為大家輸出更多高質量的實用文章！