Belirli bir programdan uzak bir syslog sunucusuna günlük göndermek için rsyslog'u nasıl yapılandırabilirim?

Belirli bir etiket / program adı ile syslog çıktılar bir program var. Syslog trafiğini bu programdan filtreleyip uzaktaki bir syslog sunucusuna gönderebilmek ve diğer tüm syslog trafiğini yerel bırakmak istiyorum.

Tüm trafiği uzak sunucuya

*.* @remote_server

Nasıl filtreleyebilirim?

Rsyslog yapılandırma dosyaları şu konumda bulunur: /etc/rsyslog.d/*.conf

Rsyslog, conf dosyalarını sırayla okur, bu nedenle yapılandırma dosyanızı başka bir şey olmadan önce yüklenecek şekilde yapılandırmanız önemlidir. Bu nedenle, dosyanızı baştaki sıfırlardan başlayarak adlandırın, yani 00-my-file.conf. Güncellemelerin vb. Yerel yapılandırmanızın üzerine yazmaması için yeni bir dosya oluşturmak daha iyidir.

Misal:

if $programname == 'programname' and $msg contains 'a text string' and $syslogseverity <= '6' then /var/log/custom/bind.log

Veya yalnızca belirli girişleri silmek istiyorsanız:

if $programname == 'programname' then ~

Sizin durumunuzda: (UDP)

if $programname == 'programname' then @remote.syslog.server
& ~

Veya (TCP)

if $programname == 'programname' then @@remote.syslog.server
& ~

& ~Araçlar (sadece! Önceki çizgi) işleme eşleştirme durdurmak ileri girişleri için.

Bazı genel bilgiler:

Ayrıca, filtrelerin her zaman aynı satırda olduğundan emin olun:

# Example: Log mail server control messages to mail-queue.log
if $hostname == 'titus'\
and $programname == 'smtp.queue.'\
and $syslogseverity <= '6' then /var/log/titus/mail-queue.log
& ~

Yararlı filtreler:

$hostname
$programname
$msg
$syslogseverity

Operatörler:

== (equals)
contains
and
or

Daha fazla bilgi: http://wiki.rsyslog.com/index.php/Configuration_Samples

Bunu da deneyebiliriz. Benim için iyi çalışıyor.

$template Incoming-logs,"/var/log/testing_docker/%PROGRAMNAME%.log"
if $programname startswith 'docker' then -?Incoming-logs

NOT: burada testing_dockerklasör sahipliği syslog kullanıcısına verilmelidir. İzinleri ayarlamak için aşağıdaki komutu izleyin.

chown syslog:syslog testing_docker