23.2. Rsyslog 的基本配置

过滤 syslog 消息的最常用方式是使用基于设备/优先级的过滤器，该过滤器根据两个条件过滤 syslog 消息：由点隔开的设备和 优先级。要创建选择器，请使用以下语法：

FACILITY.PRIORITY

其中：

通过基于属性的过滤器，您可以按任何属性（如 时间生成 或 syslogtag）过滤 syslog 消息。有关属性的详情请参考 “属性”一节。您可以使用 表 23.1 “基于属性的 compare-operations” 中列出的 compare-operations 之一将每个指定属性与特定值进行比较。属性名称和比较操作都区分大小写。

基于属性的过滤器必须以冒号(:)开头。要定义过滤器，请使用以下语法：

:PROPERTY, [!]COMPARE_OPERATION, "STRING"

其中：

基于表达式的过滤器根据定义的算术、布尔值或字符串操作选择 syslog 消息。基于表达式的过滤器使用 rsyslog自身的脚本语言（称为 RainerScript ）来构建复杂的过滤器。

基于表达式的过滤器的基本语法如下：

if EXPRESSION then ACTION else ACTION

其中：

大多数操作都指定将 syslog 消息保存到的日志文件中。这可以通过在您已定义的选择器后指定文件路径来实现：

FILTER PATH

其中 FILTER 代表用户指定的选择器，PATH 是目标文件的路径。

例如，以下规则由一个选择器组成，该选择器选择所有 cron syslog 信息，以及将其保存到 /var/log/cron.log 日志文件中的操作：

cron.* /var/log/cron.log

默认情况下，每次生成 syslog 消息时都会同步日志文件。使用短划线标记(-)作为您指定的文件路径前缀，以忽略同步：

FILTER -PATH

请注意，如果在写入尝试后系统终止了正确的信息，则可能会丢失信息。但是，这个设置可以提高性能，特别是您运行生成非常详细的日志消息的程序。

您指定的文件路径可以是静态的 ，也可以是动态的。静态文件由固定文件路径表示，如上例中所示。动态文件路径可能会根据收到的消息而有所不同。动态文件路径由模板和一个问号(?)前缀表示：

FILTER ?DynamicFile

其中 DynamicFile 是预定义模板的名称，用于修改输出路径。您可以使用短划线前缀(-)禁用同步，也可以使用用冒号(;)分隔的多个模板。有关模板的更多信息，请参阅 “生成动态文件名”一节。

如果您指定的文件是现有 终端 或 /dev/console 设备，则 syslog 消息会在使用 X Window 系统时分别发送到标准输出（使用特殊 终端-handling）或控制台（使用特殊的 /dev/console-handling）。

rsyslog 允许您通过网络发送和接收 syslog 消息。此功能允许您管理一台计算机上多个主机的 syslog 消息。要将 syslog 信息转发到远程机器，请使用以下语法：

@(zNUMBER)HOST:PORT

其中：

输出频道主要用于指定日志文件可扩展至的最大大小。这对于日志文件轮转非常有用（更多信息，请参阅 第 23.2.5 节 “Log Rotation”）。输出通道基本上是关于输出操作的信息的集合。输出频道由 $outchannel 指令定义。要在 /etc/rsyslog.conf 中定义输出频道，请使用以下语法：

$outchannel NAME, FILE_NAME, MAX_SIZE, ACTION

其中：

rsyslog 允许您对选定的 syslog 消息执行程序，并使用 system（） 调用在 shell 中执行程序。要指定要执行的程序，请为它加上脱字符号(^)前缀。因此，指定一个模板，它格式化收到的消息并将其作为一行参数传递给指定的可执行文件（有关模板的更多信息，请参阅 第 23.2.3 节 “模板”）。

FILTER ^EXECUTABLE; TEMPLATE

此处 FILTER 条件的输出由 EXECUTABLE 表示的程序处理。该程序可以是任何有效的可执行文件。将 TEMPLATE 替换为格式化模板的名称。

. ^test-program;template

可使用数据库写入操作将选定的 syslog 消息直接写入到数据库表中。数据库写入器使用以下语法：

:PLUGIN:DB_HOST,DB_NAME,DB_USER,DB_PASSWORD;TEMPLATE

其中：

要丢弃您选择的消息，请使用 stop。

discard 操作主要用于在执行任何进一步处理前过滤出消息。如果要省略一些填写日志文件的重复消息，它可以有效。丢弃操作的结果取决于在其配置文件中指定的位置，最佳结果会将这些操作放在操作列表的顶部。请注意，一旦丢弃了一条消息，就无法在以后的配置文件行中检索该消息。

例如，以下规则丢弃所有与 local5.* 过滤器相关的信息：

local5.* stop

在以下示例中，会丢弃任何 cron syslog 信息：

cron.* stop

用于对属性问题进行故障排除的特殊格式。

template(name=”RSYSLOG_DebugFormat” type=”string” string="Debug line with all properties:\nFROMHOST: '%FROMHOST%', fromhost-ip: '%fromhost-ip%', HOSTNAME: '%HOSTNAME%', PRI: %PRI%,\nsyslogtag '%syslogtag%', programname: '%programname%', APP-NAME: '%APP-NAME%', PROCID: '%PROCID%', MSGID: '%MSGID%',\nTIMESTAMP: '%TIMESTAMP%', STRUCTURED-DATA: '%STRUCTURED-DATA%',\nmsg: '%msg%'\nescaped msg: '%msg:::drop-cc%'\nrawmsg: '%rawmsg%'\n\n")

IETF 的 internet-draft ietf-syslog-protocol-23 中指定的格式，被假定为成为新的 syslog 标准 RFC。

template(name=”RSYSLOG_SyslogProtocol23Format” type=”string” string="%PRI%1 %TIMESTAMP:::date-rfc3339% %HOSTNAME% %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%\n ")

现代日志文件格式类似于 TraditionalFileFormat，但具有高精确度时间戳和时区信息。

template(name="RSYSLOG_FileFormat" type="list") {
property(name="timestamp" dateFormat="rfc3339")
constant(value=" ")
property(name="hostname")
constant(value=" ")
property(name="syslogtag")
property(name="msg" spifno1stsp="on" )
property(name="msg" droplastlf="on" )
constant(value="\n")
}

较旧的默认日志文件格式，具有低精确度时间戳。

template(name="RSYSLOG_TraditionalFileFormat" type="list") {
property(name="timestamp")
constant(value=" ")
property(name="hostname")
constant(value=" ")
property(name="syslogtag")
property(name="msg" spifno1stsp="on" )
property(name="msg" droplastlf="on" )
constant(value="\n")
}

具有高精确度时间戳和时区信息的转发格式。

template(name="ForwardFormat" type="list") {
constant(value="<")
property(name="pri")
constant(value=">")
property(name="timestamp" dateFormat="rfc3339")
constant(value=" ")
property(name="hostname")
constant(value=" ")
property(name="syslogtag" position.from="1" position.to="32")
property(name="msg" spifno1stsp="on" )
property(name="msg")
}

具有低精确度时间戳的传统转发格式。

template(name="TraditionalForwardFormat" type="list") {
constant(value="<")
property(name="pri")
constant(value=">")
property(name="timestamp")
constant(value=" ")
property(name="hostname")
constant(value=" ")
property(name="syslogtag" position.from="1" position.to="32")
property(name="msg" spifno1stsp="on" )
property(name="msg")
}