Linux云服务器rsyslog配置全攻略：从入门到精通

一、rsyslog核心概念解析

rsyslog是传统syslog的增强版，具有模块化架构和高性能特点。在云服务器环境中，它可以帮助我们：

• 集中收集多台服务器的日志
• 实现日志的过滤和分类
• 支持TCP/UDP/TLS等多种传输协议
• 提供数据库存储支持

二、安装与基础配置

1. 安装rsyslog

# Ubuntu/Debian
sudo apt-get update
sudo apt-get install rsyslog

# CentOS/RHEL
sudo yum install rsyslog

2. 基础配置文件分析

主配置文件通常位于/etc/rsyslog.conf，包含以下重要部分：

# 模块加载部分
module(load="imuxsock") # 提供本地系统日志支持
module(load="imklog")   # 提供内核日志支持

# 全局指令
$WorkDirectory /var/spool/rsyslog
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# 规则部分
*.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv.* /var/log/secure

三、高级配置实战

1. 配置远程日志服务器

服务器端配置：

# 启用TCP/UDP监听
module(load="imtcp")
input(type="imtcp" port="514")

module(load="imudp")
input(type="imudp" port="514")

客户端配置：

*.* @@192.168.1.100:514  # TCP方式
*.* @192.168.1.100:514   # UDP方式

2. 日志过滤与分类

# 按设施/优先级过滤
:syslogtag, contains, "nginx" /var/log/nginx.log
:msg, contains, "error" /var/log/error.log

# 使用属性过滤器
if $hostname == 'webserver01' then /var/log/webserver01.log

3. 日志轮转配置

配合logrotate使用：

# /etc/logrotate.d/rsyslog
/var/log/messages {
    daily
    rotate 7
    compress
    delaycompress
    missingok
    notifempty
    create 0640 root adm
    sharedscripts
    postrotate
        /usr/lib/rsyslog/rsyslog-rotate
    endscript
}

四、云环境特殊配置

1. 使用TLS加密日志传输

# 生成证书
openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365

# rsyslog配置
module(load="gtls")
input(type="imtcp" port="6514" ruleset="remote"
      StreamDriver="gtls"
      StreamDriverMode="1"
      StreamDriverAuthMode="x509/name"
      StreamDriverPermittedPeers="*.example.com")

2. 日志写入数据库

module(load="ommysql")
action(type="ommysql"
       server="localhost"
       db="Syslog"
       uid="rsyslog"
       pwd="password"
       template="RSYSLOG_FileFormat")

五、性能优化建议

• 使用队列机制处理高负载：$ActionQueueFileName queue
• 启用批处理模式提高效率：$ActionExecOnlyWhenPreviousIsSuspended on
• 限制日志文件大小：$outchannel log_rotation,/var/log/messages,5000000

六、常见问题解决

1. 日志未正确转发

检查点：

• 防火墙设置（云服务器安全组配置）
• selinux状态
• rsyslog服务状态

2. 日志文件权限问题

解决方案：

sudo chown syslog:adm /var/log/remote/
sudo chmod 775 /var/log/remote/

3. 性能瓶颈

优化方法：

• 增加队列大小
• 使用异步写入
• 考虑使用RELP协议替代UDP