Linux 系统 rsyslog 配置

会飞的土拨鼠呀

于 2025-06-04 11:30:36 发布

阅读量470

点赞数 3

CC 4.0 BY-SA版权

分类专栏：运维学习笔记文章标签： linux 运维服务器

本文链接：https://blog.csdn.net/qq_44534541/article/details/148423634

运维学习笔记专栏收录该内容

282 篇文章

订阅专栏

Linux 系统 rsyslog 配置指南

rsyslog 是 Linux 系统的下一代日志处理系统，功能强大且高效。以下是从基础到高级的全面配置指南：

1. 安装与基础配置

安装 rsyslog

# Ubuntu/Debian
sudo apt update
sudo apt install rsyslog

# CentOS/RHEL
sudo yum install rsyslog

基础配置

配置文件：/etc/rsyslog.conf

# 查看默认配置
sudo vim /etc/rsyslog.conf

# 启用的模块
module(load="imuxsock") # 提供本地系统日志支持
module(load="imklog")   # 提供内核日志支持
module(load="immark")  # 提供标记消息支持

# 标准日志规则
*.info;mail.none;authpriv.none;cron.none  /var/log/messages
authpriv.*                               /var/log/secure
mail.*                                   -/var/log/maillog
cron.*                                   /var/log/cron
*.emerg                                 :omusrmsg:*

重启服务

sudo systemctl restart rsyslog
sudo systemctl enable rsyslog

2. 关键配置功能详解

日志分级

级别	优先级	描述
debug	7	调试信息
info	6	一般信息
notice	5	正常但重要的事件
warning	4	警告
err	3	错误
crit	2	严重情况
alert	1	需要立即采取行动
emerg	0	系统不可用

常用日志路径

日志文件	描述
/var/log/messages	系统级常规日志
/var/log/secure	认证相关日志
/var/log/cron	计划任务日志
/var/log/maillog	邮件系统日志
/var/log/boot.log	系统启动日志

3. 高级配置功能

3.1 远程日志集中管理

日志发送端配置

sudo vim /etc/rsyslog.conf

# 添加在文件底部
# UDP方式（快速但不保证送达）
*.* @192.168.1.100:514

# TCP方式（可靠传输）
*.* @@192.168.1.100:514

# 重试队列（如果服务器离线）
$ActionQueueFileName queue   # 唯一名称
$ActionQueueMaxDiskSpace 1g  # 最大磁盘空间
$ActionQueueSaveOnShutdown on # 关机保存
$ActionQueueType LinkedList  # 队列类型
$ActionResumeRetryCount -1   # 无限重试

日志接收端配置

sudo vim /etc/rsyslog.conf

# 启用TCP/UDP接收
module(load="imudp")
input(type="imudp" port="514")

module(load="imtcp")
input(type="imtcp" port="514")

# 指定接收日志的目录
$template RemoteLogs,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?RemoteLogs
& ~  # 停止进一步处理

3.2 日志过滤与路由

# 将sshd日志保存到单独文件
:programname, isequal, "sshd" /var/log/ssh.log

# 丢弃指定程序的日志
:msg, contains, "debug" ~

# 按严重级别过滤
*.emerg /var/log/critical.log

# 自定义时间格式
$template MyFormat,"%$NOW% %TIMESTAMP:8:15% %hostname% %syslogtag% %msg%\n"

3.3 性能优化配置

# /etc/rsyslog.conf 顶部添加
$MaxMessageSize 64k  # 最大日志大小
$WorkDirectory /var/lib/rsyslog  # 工作目录
$MainMsgQueueSize 50000  # 主队列大小

# 批量处理
$ActionQueueSize 100000   # 队列大小
$ActionQueueTimeoutEnqueue 500 # 超时(毫秒)
$ActionDequeueBatchSize 2000 # 批量处理数

4. 日志轮转配置

配置文件：/etc/logrotate.d/rsyslog

/var/log/messages
/var/log/secure
/var/log/maillog
/var/log/cron
/var/log/spooler
/var/log/boot.log
{
    daily            # 按天轮转
    rotate 30        # 保留30份
    size 100M        # 或达到100MB轮转
    missingok        # 文件不存在不报错
    compress         # 压缩旧日志
    delaycompress    # 延迟压缩
    sharedscripts    # 所有文件处理完后运行脚本
    postrotate
        /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
    endscript
}

5. 安全增强配置

5.1 TLS加密传输

# 生成证书
sudo openssl req -x509 -newkey rsa:2048 -keyout /etc/ssl/private/rsyslog-key.pem \
-out /etc/ssl/certs/rsyslog-cert.pem -days 365 -nodes

# 发送端配置
$DefaultNetstreamDriver gtls
$DefaultNetstreamDriverCAFile /etc/ssl/certs/ca-cert.pem
$DefaultNetstreamDriverCertFile /etc/ssl/certs/client-cert.pem
$DefaultNetstreamDriverKeyFile /etc/ssl/private/client-key.pem
*.* @@(o)192.168.1.100:6514  # 使用TLS端口6514

# 接收端配置
global(
    DefaultNetstreamDriver="gtls"
    DefaultNetstreamDriverCAFile="/etc/ssl/certs/ca-cert.pem"
    DefaultNetstreamDriverCertFile="/etc/ssl/certs/server-cert.pem"
    DefaultNetstreamDriverKeyFile="/etc/ssl/private/server-key.pem"
)

5.2 访问控制

# 接收端限制访问
$AllowedSender UDP, 192.168.1.0/24
$AllowedSender TCP, 192.168.1.0/24
$AllowedSender TLS, 192.168.1.0/24

5.3 SELinux策略

# 开放rsyslog端口
sudo semanage port -a -t syslogd_port_t -p udp 514
sudo semanage port -a -t syslogd_port_t -p tcp 514

# 允许写入远程日志目录
sudo semanage fcontext -a -t var_log_t "/var/log/remote(/.*)?"
sudo restorecon -Rv /var/log/remote

6. 监控与故障排除

检查服务状态

sudo systemctl status rsyslog
sudo rsyslogd -N1  # 测试配置文件语法

日志分析工具

# 实时监控日志
sudo tail -f /var/log/messages

# 筛选特定时间范围日志
journalctl --since "2023-01-01 00:00:00" --until "2023-01-02 00:00:00"

# 查看最后100条错误
sudo grep -i error /var/log/messages | tail -100

网络诊断

# 测试UDP发送
echo "Test message" | nc -u -w1 192.168.1.100 514

# 检查端口监听
sudo netstat -tulnp | grep rsyslog
sudo tcpdump -i any port 514 -vv

7. 高级集成方案

与Elastic Stack集成

# 安装Logstash转发模块
sudo apt install logstash

# /etc/logstash/conf.d/rsyslog.conf
input {
  udp {
    port => 514
    type => "syslog"
  }
  tcp {
    port => 514
    type => "syslog"
  }
}
output {
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "syslog-%{+YYYY.MM.dd}"
  }
}

使用Prometheus监控日志速率

# 安装promtail
curl -s https://api.github.com/repos/grafana/loki/releases/latest | \
grep browser_download_url | grep promtail-linux-amd64 | cut -d '"' -f 4 | wget -i -

# 配置promtail.yaml
server:
  http_listen_port: 9080
  grpc_listen_port: 0
positions:
  filename: /tmp/positions.yaml
clients:
  - url: http://loki:3100/loki/api/v1/push
scrape_configs:
- job_name: system
  static_configs:
  - targets:
      - localhost
    labels:
      job: varlog
      __path__: /var/log/*.log

8. 最佳实践

最小权限原则
- 使用专用日志账户
- 限制配置文件权限 chmod 640 /etc/rsyslog.conf

结构化日志

template(name="jsonfmt" type="list") {
     property(name="timestamp" dateFormat="rfc3339")
     constant(value=",")
     property(name="hostname")
     constant(value=",")
     property(name="syslogtag")
     constant(value=",")
     property(name="msg" format="json")
}

日志分级存储
- /var/log/ 使用高性能 SSD
- /archive/logs/ 使用大容量机械硬盘

定期审计

# 检查日志完整性
sudo auditctl -w /var/log/ -p wa -k syslog_audit

监控告警
- 设置日志速率告警
- 监控日志磁盘空间使用率
- 检测关键词告警 (ERROR, CRITICAL)

通过以上全面配置，您可以构建一个高效、安全且可扩展的日志管理系统，满足从小型服务器到大型数据中心的各种需求。