Linux日志服务：rsyslog日志管理详解

日志管理是系统运维的核心环节，而rsyslog作为Linux生态中广泛使用的日志管理工具，凭借其高性能、模块化设计和多协议支持，成为企业级日志处理的首选方案。本文将从基础配置到高级应用全面解析rsyslog，并针对CentOS7、Ubuntu24、Kylin V10三大主流系统进行对比分析。

一、rsyslog核心特性

1. 模块化架构 支持通过$ModLoad指令加载imuxsock（本地日志）、imklog（内核日志）、imudp/imtcp（网络日志接收）等模块。例如启用TCP日志接收：

   Bash
   module(load="imtcp")
   input(type="imtcp" port=514)

2. 多协议支持 支持UDP/TCP/SSL/TLS协议传输日志，通过@（UDP）和@@（TCP）实现远程日志转发。

3. 高级过滤机制 支持基于设备（Facility）和优先级（Priority）的过滤规则：

   Bash
   auth.*;*.err /var/log/secure  # 记录所有认证日志及错误级别日志

4. 数据库集成 通过ommysql模块可将日志存储到MySQL数据库，需安装rsyslog-mysql包并配置：

   Bash
   module(load="ommysql")
   *.* action(type="ommysql" server="10.0.0.210" db="rsyslog" uid="rsysloger" pwd="123456")

---

二、配置文件解析（以Ubuntu为例）

/etc/rsyslog.conf分为三大模块：

1. MODULES：定义日志收集模块

2. GLOBAL DIRECTIVES：全局设置（日志格式、文件权限）

3. RULES：日志路由规则

   Bash
   # 示例：将内核日志异步写入/var/log/kern.log
   kern.* -/var/log/kern.log

---

三、操作系统差异对比

1. CentOS7

• 安装方式 默认预装rsyslog，启动命令：

  Bash
  systemctl start rsyslog

• 核心配置文件 /etc/rsyslog.conf，日志规则集中配置。

• 日志文件路径

  • 系统日志：/var/log/messages
  • 安全日志：/var/log/secure

• 特色配置 支持local7.*记录启动日志至/var/log/boot.log。

2. Ubuntu24

• 服务集成 默认集成journald（systemd日志组件），可通过journalctl查询结构化日志。

• rsyslog配置 规则分散在/etc/rsyslog.d/*.conf，默认启用异步写入（-/var/log/syslog）。

• 日志文件路径

  • 主日志：/var/log/syslog
  • 认证日志：/var/log/auth.log

3. Kylin V10（银河麒麟）

• 系统兼容性 基于CentOS生态，配置方式与CentOS7高度相似。
• 特殊要求 需注意国产化环境下的安全审计配置，建议启用auditd服务并定期归档/var/log/audit/日志。
• 服务管理 使用systemctl管理rsyslog，日志路径与CentOS一致。

---

四、跨系统通用操作指南

1. 远程日志集中管理 各系统均需启用TCP/UDP模块并配置转发规则：

   Bash
   # 发送端配置
   *.info @@192.168.1.100:514
   # 接收端启用模块
   module(load="imtcp")
   input(type="imtcp" port=514)

2. 日志轮转配置 使用logrotate统一管理，配置文件位于/etc/logrotate.d/rsyslog：

   Bash
   /var/log/syslog {
       daily
       rotate 7
       compress
       delaycompress
       missingok
   }

3. 故障排查命令

   • 实时监控：tail -f /var/log/messages
   • 手动记录日志：logger -p local0.info "Test message"
   • 内核日志：dmesg | grep -i error

---

五、各系统注意事项

---

结语

rsyslog的灵活配置使其能适应不同系统的日志管理需求。CentOS7适合传统企业环境，Ubuntu24的journald为日志分析提供更多维度，而Kylin V10需重点关注国产化兼容性。建议结合ELK等工具构建集中式日志平台，提升运维效率。