CentOS7 syslog配置文件在哪及如何修改日志级别？

CentOS 7 系统中的日志管理是系统运维的重要组成部分，而 syslog 作为传统的日志记录机制，在 CentOS 7 中通过 rsyslog 服务得到了现代化升级和增强，rsyslog 不仅支持传统的本地日志记录，还能实现日志的远程传输、过滤、格式化等高级功能,为系统监控和故障排查提供了强大支持。

syslog 在 CentOS 7 中的默认配置

在 CentOS 7 系统中，rsyslog 服务是默认安装并启用的，其主配置文件位于 /etc/rsyslog.conf，该文件定义了日志的来源、目标以及处理规则，默认情况下，系统会将日志分为多个优先级（如 emerg、alert、crit、err、warning、notice、info、debug）和设施（如 auth、cron、 kern、mail 等），不同优先级的日志会被记录到不同的文件中，系统错误日志通常位于 /var/log/messages，而认证日志则记录在 /var/log/secure 中。

日志文件的存储与轮转

随着系统运行时间的增长，日志文件会不断增大，可能导致磁盘空间不足，CentOS 7 通过 logrotate 工具与 rsyslog 协作，实现了日志文件的自动轮转，默认配置下，大部分日志文件会在达到一定大小或时间周期时被轮转，旧的日志会被压缩并保留一定数量，新的日志则写入空文件，这一过程无需手动干预,确保了日志管理的自动化和高效性。

远程日志传输的实现

在分布式系统中，将多台服务器的日志集中存储到一台日志服务器上，便于统一管理和分析，rsyslog 支持通过 TCP 或 UDP 协议实现远程日志传输，在客户端系统中，需修改 /etc/rsyslog.conf 文件，添加目标服务器的 IP 地址和端口，*.* @192.168.1.100:514， 表示 UDP 传输， 表示 TCP 传输，在日志服务器端，需配置监听端口并允许客户端的连接请求,从而实现日志的集中收集。

日志过滤与格式化

rsyslog 提供了强大的过滤和格式化功能，允许根据需求对日志进行精细化处理，通过使用 if 语句，可以过滤特定来源或优先级的日志，例如仅记录某应用程序的错误日志，通过 template 指令，可以自定义日志的输出格式，例如添加时间戳、主机名、进程名等信息,便于后续的日志分析和处理。

常见问题排查

当日志记录出现异常时，首先需检查 rsyslog 服务的运行状态，可通过 systemctl status rsyslog 命令确认服务是否正常启动，检查日志文件的权限是否正确，确保 rsyslog 进程有写入权限，对于远程日志传输问题，需验证网络连接和防火墙设置，确保目标端口未被阻塞，查看 /var/log/rsyslog 或 /var/log/messages 中的 rsyslog 自身日志,定位可能的配置错误或运行时问题。

FAQs

Q1: 如何修改 CentOS 7 中日志文件的存储路径？
A1: 修改 /etc/rsyslog.conf 文件中对应的规则，将目标文件路径更改为自定义路径，例如将 *.info /var/log/messages 改为 *.info /custom/path/info.log，修改后需重启 rsyslog 服务（systemctl restart rsyslog）使配置生效,并确保目标目录存在且权限正确。

Q2: 如何配置 rsyslog 将特定服务的日志单独记录？
A2: 在 /etc/rsyslog.conf 中使用 programname 过滤器，if $programname == 'nginx' then /var/log/nginx.log，将 nginx 进程的日志单独记录到 /var/log/nginx.log 文件中，也可以结合 template 指令自定义日志格式,重启服务后即可生效。