Linux 系统 rsyslog 配置

Linux 系统 rsyslog 配置指南

rsyslog 是 Linux 系统的下一代日志处理系统，功能强大且高效。以下是从基础到高级的全面配置指南：

1. 安装与基础配置

安装 rsyslog

# Ubuntu/Debian
sudo apt update
sudo apt install rsyslog# CentOS/RHEL
sudo yum install rsyslog

基础配置

配置文件：/etc/rsyslog.conf

# 查看默认配置
sudo vim /etc/rsyslog.conf# 启用的模块
module(load="imuxsock") # 提供本地系统日志支持
module(load="imklog")   # 提供内核日志支持
module(load="immark")  # 提供标记消息支持# 标准日志规则
*.info;mail.none;authpriv.none;cron.none  /var/log/messages
authpriv.*                               /var/log/secure
mail.*                                   -/var/log/maillog
cron.*                                   /var/log/cron
*.emerg                                 :omusrmsg:*

重启服务

sudo systemctl restart rsyslog
sudo systemctl enable rsyslog

2. 关键配置功能详解

日志分级

级别	优先级	描述
debug	7	调试信息
info	6	一般信息
notice	5	正常但重要的事件
warning	4	警告
err	3	错误
crit	2	严重情况
alert	1	需要立即采取行动
emerg	0	系统不可用

常用日志路径

日志文件	描述
/var/log/messages	系统级常规日志
/var/log/secure	认证相关日志
/var/log/cron	计划任务日志
/var/log/maillog	邮件系统日志
/var/log/boot.log	系统启动日志

3. 高级配置功能

3.1 远程日志集中管理

日志发送端配置

sudo vim /etc/rsyslog.conf# 添加在文件底部
# UDP方式（快速但不保证送达）
*.* @192.168.1.100:514# TCP方式（可靠传输）
*.* @@192.168.1.100:514# 重试队列（如果服务器离线）
$ActionQueueFileName queue   # 唯一名称
$ActionQueueMaxDiskSpace 1g  # 最大磁盘空间
$ActionQueueSaveOnShutdown on # 关机保存
$ActionQueueType LinkedList  # 队列类型
$ActionResumeRetryCount -1   # 无限重试

日志接收端配置

sudo vim /etc/rsyslog.conf# 启用TCP/UDP接收
module(load="imudp")
input(type="imudp" port="514")module(load="imtcp")
input(type="imtcp" port="514")# 指定接收日志的目录
$template RemoteLogs,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?RemoteLogs
& ~  # 停止进一步处理

3.2 日志过滤与路由

# 将sshd日志保存到单独文件
:programname, isequal, "sshd" /var/log/ssh.log# 丢弃指定程序的日志
:msg, contains, "debug" ~# 按严重级别过滤
*.emerg /var/log/critical.log# 自定义时间格式
$template MyFormat,"%$NOW% %TIMESTAMP:8:15% %hostname% %syslogtag% %msg%\n"

3.3 性能优化配置

# /etc/rsyslog.conf 顶部添加
$MaxMessageSize 64k  # 最大日志大小
$WorkDirectory /var/lib/rsyslog  # 工作目录
$MainMsgQueueSize 50000  # 主队列大小# 批量处理
$ActionQueueSize 100000   # 队列大小
$ActionQueueTimeoutEnqueue 500 # 超时(毫秒)
$ActionDequeueBatchSize 2000 # 批量处理数

4. 日志轮转配置

配置文件：/etc/logrotate.d/rsyslog

/var/log/messages
/var/log/secure
/var/log/maillog
/var/log/cron
/var/log/spooler
/var/log/boot.log
{daily            # 按天轮转rotate 30        # 保留30份size 100M        # 或达到100MB轮转missingok        # 文件不存在不报错compress         # 压缩旧日志delaycompress    # 延迟压缩sharedscripts    # 所有文件处理完后运行脚本postrotate/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || trueendscript
}

5. 安全增强配置

5.1 TLS加密传输

# 生成证书
sudo openssl req -x509 -newkey rsa:2048 -keyout /etc/ssl/private/rsyslog-key.pem \
-out /etc/ssl/certs/rsyslog-cert.pem -days 365 -nodes# 发送端配置
$DefaultNetstreamDriver gtls
$DefaultNetstreamDriverCAFile /etc/ssl/certs/ca-cert.pem
$DefaultNetstreamDriverCertFile /etc/ssl/certs/client-cert.pem
$DefaultNetstreamDriverKeyFile /etc/ssl/private/client-key.pem
*.* @@(o)192.168.1.100:6514  # 使用TLS端口6514# 接收端配置
global(DefaultNetstreamDriver="gtls"DefaultNetstreamDriverCAFile="/etc/ssl/certs/ca-cert.pem"DefaultNetstreamDriverCertFile="/etc/ssl/certs/server-cert.pem"DefaultNetstreamDriverKeyFile="/etc/ssl/private/server-key.pem"
)

5.2 访问控制

# 接收端限制访问
$AllowedSender UDP, 192.168.1.0/24
$AllowedSender TCP, 192.168.1.0/24
$AllowedSender TLS, 192.168.1.0/24

5.3 SELinux策略

# 开放rsyslog端口
sudo semanage port -a -t syslogd_port_t -p udp 514
sudo semanage port -a -t syslogd_port_t -p tcp 514# 允许写入远程日志目录
sudo semanage fcontext -a -t var_log_t "/var/log/remote(/.*)?"
sudo restorecon -Rv /var/log/remote

6. 监控与故障排除

检查服务状态

sudo systemctl status rsyslog
sudo rsyslogd -N1  # 测试配置文件语法

日志分析工具

# 实时监控日志
sudo tail -f /var/log/messages# 筛选特定时间范围日志
journalctl --since "2023-01-01 00:00:00" --until "2023-01-02 00:00:00"# 查看最后100条错误
sudo grep -i error /var/log/messages | tail -100

网络诊断

# 测试UDP发送
echo "Test message" | nc -u -w1 192.168.1.100 514# 检查端口监听
sudo netstat -tulnp | grep rsyslog
sudo tcpdump -i any port 514 -vv

7. 高级集成方案

与Elastic Stack集成

# 安装Logstash转发模块
sudo apt install logstash# /etc/logstash/conf.d/rsyslog.conf
input {udp {port => 514type => "syslog"}tcp {port => 514type => "syslog"}
}
output {elasticsearch {hosts => ["localhost:9200"]index => "syslog-%{+YYYY.MM.dd}"}
}

使用Prometheus监控日志速率

# 安装promtail
curl -s https://api.github.com/repos/grafana/loki/releases/latest | \
grep browser_download_url | grep promtail-linux-amd64 | cut -d '"' -f 4 | wget -i -# 配置promtail.yaml
server:http_listen_port: 9080grpc_listen_port: 0
positions:filename: /tmp/positions.yaml
clients:- url: http://loki:3100/loki/api/v1/push
scrape_configs:
- job_name: systemstatic_configs:- targets:- localhostlabels:job: varlog__path__: /var/log/*.log

8. 最佳实践

1. 最小权限原则

   • 使用专用日志账户
   • 限制配置文件权限 chmod 640 /etc/rsyslog.conf

2. 结构化日志

   template(name="jsonfmt" type="list") {property(name="timestamp" dateFormat="rfc3339")constant(value=",")property(name="hostname")constant(value=",")property(name="syslogtag")constant(value=",")property(name="msg" format="json")
   }
   

3. 日志分级存储

   • /var/log/ 使用高性能 SSD
   • /archive/logs/ 使用大容量机械硬盘

4. 定期审计

   # 检查日志完整性
   sudo auditctl -w /var/log/ -p wa -k syslog_audit
   

5. 监控告警

   • 设置日志速率告警
   • 监控日志磁盘空间使用率
   • 检测关键词告警 (ERROR, CRITICAL)

通过以上全面配置，您可以构建一个高效、安全且可扩展的日志管理系统，满足从小型服务器到大型数据中心的各种需求。