syslog_ng配置日志服务器学习总结.docVIP

.专业.专注. . word可编辑 . 背景：因为项目需要，现使用syslog-ng搭建一台日志服务器，简单来说就是利用我们现有的虚拟机中的syslog-ng服务，搭建一台用于专名存放其他虚拟机（也包括自己）所产生的日志。由于一些用户以后将没有权限直接访问我们的ebackup服务器，但又需要查看日志。便可以用过这台日志服务器来查看。日志服务器中的日志目录按照一定的规则设定，如“日期+主机名”等自行设定。 Syslog-ng介绍： syslog-ng作为 syslog的替代工具，可以完全替代syslog的服务，并且通过定义规则，实现更好的过滤功能。本次日志服务器的搭建是用的syslog-ng，关于syslog的具体描述可以参考下面的链接。 /subview/1614723/1614723.htm 1、syslog-ng的配置说明 syslog-ng的主配置文件存放在：/etc/syslog-ng/syslog-ng.conf中。首先需要简单介绍一下syslog-ng的架构。yslog-ng.conf中所有配置都是基于syslog-ng的这样一种架构：LOG STATEMENTS『SOURCES － FILTERS －DESTINATIONS』 即：消息路径 『消息源 － 过滤器 － 目的站』 也就是说，通过定义多个消息源，把匹配上若干个过滤器的消息导向到指定的目的地，从而组成一个消息路径。 （1）、消息源source 格式为：source { sourcedriver params; sourcedriver params; ... }; 一个消息源的标识sourcedriver：消息源驱动器，可以支持若干参数，并使用分号“；”隔离多个消息源驱动器 消息源有以下几种： file (filename) ： 从指定的文件读取日志信息 unix-dgram (filename) ： 打开指定的 SOCK_DGRAM模式的 unix 套接字，接收日志消息 unix-stream (filename) ： 打开指定的 SOCK_STREAM模式的unix套接字，接收日志消息 udp ( (ip),(port) ) ： 在指定的 UDP端口接收日志消息 tcp ( (ip),(port) ) ： 在指定的 TCP端口接收日志消息 sun-streams (filename) ： 在 solaris系统中，打开一个（多个）指定的STREAM设备，从其中读取日志消息 internal() ： syslog-ng内部产生的消息 pipe(filename),fifo(filename) ： 从指定的管道或者FIFO设备，读取日志信息 例如： source s_sys {file (/proc/kmsg log_prefix(kernel: ));unix-stream (/dev/log);internal(); ); };参数需要使用括号括住。 （2）、过滤器FILTERS 定义格式为：filter { expression; };表示一个过滤器标识，逻辑 操作符：and（和）、or（或）、not（非）；可使用 正规表达式描述内容 过滤函数有： facility(,)： 根据facility（设备）选择日志消息，使用逗号分割多个facility level(,)： 根据level（优先级）选择日志消息，使用逗号分割多个level，或使用“..”表示一个范围 program( regexp)： 日志消息的程序名是否匹配一个 正则表达式 host(regexp)： 日志消息的 主机名是否和一个正则表达式匹配 match(regexp)： 对日志消息的内容进行正则匹配 filter()： 调用另一条过滤规则并判断它的值 例如： filter f_filter2 { level(info..emerg) and not facility(mail,authpriv, cron); }； （3）、目的地DESTINATIONS 定义格式为：destination { destdriver params; destdriver params; ... ;};表示一个目的地的标识目的地驱动器有： file (filename) ：把日志消息写入指定的文件 unix-dgram (filename) ：把日志消息写入指定的 SOCK_DGRAM模式的 unix 套接字 unix-stream (filename) ：把日志消息写入指定的 SOCK_STREAM模式的unix套接字 udp (ip),(port) ：把日志消息发送到指定的 UDP端口 tcp (i