23.5. 在日志记录服务器上配置 rsyslog

1. 使用以下参数运行 semanage port 命令：

   ~]# semanage port -a -t syslogd_port_t -p tcp 10514

2. 输入以下命令检查 SELinux 端口：

   ~]# semanage port -l | grep syslog

3. 如果在 /etc/rsyslog.conf 中配置了新端口，请重启 rsyslog 以使更改生效：

   ~]# service rsyslog restart

4. 验证 rsyslog 正在侦听哪些端口：

   ~]# netstat -tnlp | grep rsyslog
   tcp    0   0 0.0.0.0:10514      0.0.0.0:*  LISTEN   2528/rsyslogd
   tcp    0   0 :::10514        :::*    LISTEN   2528/rsyslogd

1. 要验证上述设置，请使用以下命令：

   ~]# firewall-cmd --list-all
   public (default, active)
    interfaces: eth0
    sources:
    services: dhcpv6-client ssh
    ports: 10514/tcp
    masquerade: no
    forward-ports:
    icmp-blocks:
    rich rules:

将 rsyslog 配置为接收和排序远程日志消息

1. 在文本编辑器中打开 /etc/rsyslog.conf 文件，如下所示：

   1. 在 modules 部分下方添加这些行，但在 Provides UDP syslog 接收 部分上方：

      # Define templates before the rules that use them
      
      # Per-Host Templates for Remote Systems #
      $template TmplAuthpriv, "/var/log/remote/auth/%HOSTNAME%/%PROGRAMNAME:::secpath-replace%.log"
      $template TmplMsg, "/var/log/remote/msg/%HOSTNAME%/%PROGRAMNAME:::secpath-replace%.log"

   2. 将默认的 Provides TCP syslog 接收 部分替换为以下内容：

      # Provides TCP syslog reception
      $ModLoad imtcp
      # Adding this ruleset to process remote messages
      $RuleSet remote1
      authpriv.*  ?TmplAuthpriv
      *.info;mail.none;authpriv.none;cron.none  ?TmplMsg
      $RuleSet RSYSLOG_DefaultRuleset  #End the rule set by switching back to the default rule set
      $InputTCPServerBindRuleset remote1 #Define a new input and bind it to the "remote1" rule set
      $InputTCPServerRun 10514

      保存对 /etc/rsyslog.conf 文件的更改。

2. rsyslog 服务必须在日志记录服务器和尝试登录到该服务器的系统上运行。

   1. 使用 systemctl 命令启动 rsyslog 服务。

      ~]# systemctl start rsyslog

   2. 要确保 rsyslog 服务以后自动启动，以 root 用户身份输入以下命令：

      ~]# systemctl enable rsyslog