14.6. 配置服务器以通过 UDP 接收远程日志信息

流程

1. 可选：对于与默认端口 514 不同的 rsyslog 流量，请使用其他端口：

   1. 将 syslogd_port_t SELinux 类型添加到 SELinux 策略配置中，使用您要 rsyslog 的端口号替换 portno ：

      # semanage port -a -t syslogd_port_t -p udp portno

   2. 配置 firewalld 以允许传入的 rsyslog 流量，使用您要 rsyslog 使用的端口替换 portno，区替换 zone：

      # firewall-cmd --zone=zone --permanent --add-port=portno/udp
      success
      # firewall-cmd --reload

   3. 重新载入防火墙规则：

      # firewall-cmd --reload

2. 在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，如 remotelogserv.conf，并插入以下内容：

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides UDP syslog reception
   module(load="imudp")
   
   # This ruleset processes remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imudp" port="514" ruleset="remote1")

   其中 514 是 rsyslog 默认使用的端口号。您可以指定不同的端口。

3. 验证 /etc/rsyslog.conf 文件以及 /etc/rsyslog.d/ 目录中的所有 .conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...

4. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

5. 可选：如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

   # systemctl enable rsyslog