在现代的Linux系统管理中，日志系统扮演着至关重要的角色，它不仅是排查系统故障、追踪安全事件的“黑匣子”，更是进行性能分析和审计合规的基石，Syslog作为一种标准的日志协议，被广泛应用于各类服务器和网络设备中，在CentOS系统中，这一功能通常由一个更强大、更灵活的守护进程——rsyslog来实现，本文将详细介绍如何在CentOS上安装、配置并利用rsyslog服务,构建一个高效的日志管理平台。
理解Syslog与Rsyslog
在开始操作之前，有必要厘清两个概念，Syslog是一个日志协议，它定义了日志消息的格式以及如何通过网络传输这些消息，而rsyslog（rocket-fast system for log processing）是CentOS默认的Syslog协议实现，它具备高性能、高可靠性，并支持模块化扩展、数据库存储、TCP/SSL加密传输等高级特性，完全兼容标准的Syslog，当我们在CentOS上讨论“安装Syslog服务”时，实际上指的是安装和配置rsyslog。
第一步：安装与启动Rsyslog服务
大多数CentOS发行版（如CentOS 7/8/9）默认已经安装了rsyslog,您可以通过以下命令进行验证：
dnf list installed rsyslog
如果系统返回了rsyslog.x86_64及其版本信息，则说明已安装，若未安装，或您需要重新安装，可以使用dnf或yum命令轻松完成：
sudo dnf install rsyslog -y
安装完成后，接下来就是启动服务并设置其开机自启,确保系统能够持续收集日志。
# 启动rsyslog服务 sudo systemctl start rsyslog # 设置rsyslog服务开机自启 sudo systemctl enable rsyslog # 检查服务状态，确认其正在运行 sudo systemctl status rsyslog
如果状态输出中显示active (running)，则表示rsyslog服务已成功启动并正在后台运行。
第二步：解析核心配置文件
rsyslog的主配置文件位于/etc/rsyslog.conf，该文件定义了日志的接收规则、过滤条件和输出目标，其核心语法遵循“选择器 + 动作”的模式，即 Facility.Priority Action。
- Facility（设施）：指明日志消息的来源，如内核（kern）、用户进程（user）、邮件系统（mail）、认证（auth）等。
- Priority（级别）：定义日志的紧急程度，从低到高依次为：debug（调试信息）、info（一般信息）、notice（注意事项）、warning（警告）、err（错误）、crit（严重）、alert（警报）、emerg（紧急），代表所有级别，
none代表不记录任何级别。 - Action（动作）：指定日志的处理方式，通常是写入到指定文件（如
/var/log/messages），也可以是转发到远程服务器、写入数据库或丢弃。
下表列出了常见的Facility和Priority：
| Facility | 描述 | Priority | 描述 |
|---|---|---|---|
auth | 安全/认证相关消息 | debug | 调试信息，通常仅在开发时使用 |
cron | 计划任务（cron/at）相关 | info | 一般信息性消息 |
daemon | 系统守护进程 | notice | 正常但重要的消息 |
kern | 内核消息 | warning | 警告消息，预示可能有问题 |
mail | 邮件系统 | err | 错误消息 |
syslog | rsyslog自身内部消息 | crit | 严重错误，如硬件故障 |
user | 用户级进程 | alert | 必须立即采取行动 |
| 所有设施 | emerg | 系统不可用 |
配置文件中的一行 authpriv.* /var/log/secure 表示将所有来自认证设施（authpriv）的所有级别（）的日志，全部记录到/var/log/secure文件中。
第三步：构建中央日志服务器
rsyslog最强大的功能之一是能够作为中央日志服务器，统一接收并存储来自网络中其他客户端的日志,这在管理多台服务器时极为有用。
服务器端配置
启用网络接收模块：编辑
/etc/rsyslog.conf，找到并取消注释以下两行,以启用UDP和TCP协议的日志接收功能。# Provides UDP syslog reception module(load="imudp") input(type="imudp" port="514") # Provides TCP syslog reception module(load="imtcp") input(type="imtcp" port="514")
UDP传输速度快但不保证可靠性，TCP则相反,根据需求选择或同时启用。
创建日志接收规则模板：为了让来自不同客户端的日志分开存储，可以创建一个模板，在
/etc/rsyslog.conf的RULES部分上方添加：$template RemoteLogs,"/var/log/remote/%FROMHOST-IP%.log" *.* ?RemoteLogs & stop
这个模板会将接收到的所有日志（）根据来源主机的IP地址，存放在
/var/log/remote/目录下以IP命名的文件中。配置防火墙：确保服务器的防火墙允许514端口的流量通过。
sudo firewall-cmd --permanent --add-port=514/udp sudo firewall-cmd --permanent --add-port=514/tcp sudo firewall-cmd --reload
重启服务：保存配置后，重启
rsyslog服务使配置生效。sudo systemctl restart rsyslog
客户端配置
在需要发送日志的客户端机器上，编辑其/etc/rsyslog.conf文件，在文件末尾添加一行,将所有日志转发到中央服务器。
*.* @@<中央服务器IP地址>:514
- 表示转发所有设施的所有级别日志。
- 表示使用TCP协议转发，如果使用UDP,则使用单个。
保存后，同样重启客户端的rsyslog服务。
第四步：验证与测试
配置完成后，需要进行验证，在客户端上，使用logger命令生成一条测试日志：
logger "This is a test log message from the client."
登录到中央日志服务器，查看对应的日志文件，如果客户端IP是168.1.100,则检查：
tail -f /var/log/remote/192.168.1.100.log
如果能看到刚刚发送的测试消息,说明中央日志服务器配置成功。
相关问答FAQs
解答： rsyslog服务在启动时会读取配置文件并加载到内存中，任何对/etc/rsyslog.conf或/etc/rsyslog.d/目录下文件的修改，都必须通过重启服务才能使其生效，请务必在修改后执行 sudo systemctl restart rsyslog 命令，如果只想检查配置文件语法是否正确，可以使用 sudo rsyslogd -N1 命令进行调试。
解答： 这两个是CentOS中最核心的日志文件，但记录的内容侧重点不同。/var/log/secure（由authpriv.*规则定义）专门用于记录与系统安全、认证和授权相关的事件，例如用户登录成功/失败、sudo命令的使用、SSH连接等，而/var/log/messages（通常由*.info;mail.none;authpriv.none;cron.none等规则定义）则是一个更通用的系统日志文件，它记录了大部分不涉及安全、邮件、认证和计划任务的系统信息，如服务启动/停止状态、内核消息、网络事件等，查安全审计看secure，查系统运行状态看messages。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复