防止 rsyslog 将远程主机消息记录到本地 /var/log/syslog

Question

我使用 rsyslog 以这种方式将日志从远程主机保存到服务器：

服务器：

# Logfile for each host
$template DynaFile,"/var/log/rsyslog/%HOSTNAME%.log"
*.* -?DynaFile

客户：

*.* @servername

这会为服务器中的每个客户端主机创建日志文件，/var/log/rsyslog/但它也会将每条消息记录到服务器/var/log/syslog。所以它变得非常臃肿。如何防止/var/log/syslog它只包含来自服务器本身的消息？

Answer 1

您必须确保您的新规则在记录到 /var/log/syslog 的规则之前进行评估。
例如，在 Ubuntu Trusty (rsyslog 7.4.4) 上， /etc/rsyslog.conf 包含
$IncludeConfig /etc/rsyslog.d/*.conf
从 加载默认规则/etc/rsyslog.d/50-default.conf，其中包括 /var/log/syslog 的规则。

在这种情况下，您可以添加一个要在该文件之前加载的新文件，例如00-remote.conf. 为了完整起见，以下是我正在管理的系统的内容：

$template RemoteStore, "/var/log/remote/%HOSTNAME%/%timegenerated:1:10:date-rfc3339%"
:source,isequal,"NAS",-?RemoteStore
& ~

Answer 2

我已经为此做了很多工作，我想我已经找到了解决方案。我鼓励其他人尝试这样做并寻找潜在的不利后果。我建议首先在实验室/测试和非关键机器上实现这一点。

\n\n

$template PerHostLog,"/var/log/net-hosts/%fromhost-ip%/%fromhost-ip%.log"\n$template RemoteHostFileFormat,"%TIMESTAMP% %fromhost-ip% %syslogfacility-text% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::space-cc,drop-last-lf%\\n\xe2\x80\x9d\n:inputname, isequal, "imudp" ?PerHostLog;RemoteHostFileFormat\n:fromhost-ip , !isequal , "127.0.0.1" stop\n

\n\n

以上 4 行位于我的 /etc/rsyslog.conf 文件的最顶部部分

\n\n

我当前正在观看 2 个日志文件：\n
\n/var/log/net-hosts/10.1.1.1\n
\nand\n/var/log/syslog\n

\nas 我都观看了，我看到日志填充到远程主机文件中，但不在系统日志中。我重新启动了 apache，并在 syslog 中看到了此任务的日志条目。

\n