rsyslog 的rsyslog.conf配置文件详解和日志切割

admin

syslog服务和logrotate服务
======================================================================
4 h7 m' ]+ j! L8 }2 A$ U  v3 wrsyslog 是一个 syslogd 的多线程增强版。
9 Q) l9 J* B/ e" q: W) x4 n现在Fedora和Ubuntu, rhel6默认的日志系统都是rsyslog了
rsyslog负责写入日志, logrotate负责备份和删除旧日志, 以及更新日志文件
———————————————————————-
rsyslog 服务
: y1 A. J# d9 M. w———————————————————————-
软件包:
8 B: ?$ V, q$ Y3 R8 Y3 I- m[root@centos ~]# yum install rsyslog rsyslog-mysql  logrotate
查看当前rsyslog服务的状态:
[root@centos ~]#/etc/init.d/rsyslog status
. h$ F& u+ l) O) @) \rsyslogd (pid  1343) is running…
在centos6中, rsyslog服务默认是开机启动的
我们先看一下它的进程::
[root@centos ~]# ps -ef | grep rsyslogd | grep -v grep
! j) ^* D% Z4 U4 ^' ~root      1343    1  0 12:09 ?        00:00:00 /sbin/rsyslogd -c 4
从上面命令的输出结果看到rsyslog执行时使用的参数是-c 4.
9 N! X1 v& v5 x7 f) c它的意思是指定rsyslog运行(兼容)的版本号, 这个参数必须是第一个参数, 当然也可以省略, 默认为-c0, (命令行兼容sysklogd)
这个参数是在文件/etc/sysconfig/rsyslog中指定::
* a/ k* U. `, j4 Q5 M. h[root@centos ~]# cat /etc/sysconfig/rsyslog

• # Options to syslogd
  + O  @- O  r; |6 \
• # syslogd options are deprecated since rsyslog v3
  2 p1 L6 U; x& V% l% Q, R
• # if you want to use them, switch to compatibility mode 2 by “-c 2″
  
• SYSLOGD_OPTIONS=”-c 4″  
  
  

$ J5 d) d& K' J6 Q

[root@centos ~]# chkconfig –list | grep rsyslog
rsyslog         0:off   1:off   2:on    3:on    4:on    5:on    6:off
# K- X. A0 B5 m- w- z0 u2 R注意，这里的服务名是rsyslog!
———————————————————————-
) Z/ e3 W3 v  i' p- L" b' \配置文件
. `1 B' f7 a( ~/ X# o$ `  e2 m( L———————————————————————-
1 J! a7 l6 D% \' y3 j/etc/rsyslog.conf
配置文件的基本信息
配置文件中有很多内容, 但最主要的是指定需要记录哪些服务和需要记录什么等级的信息::
. L; O2 R4 {4 ?; u0 [2 ]* u! _9 [cat /etc/rsyslog.conf

  l5 ~) a% W; R7 g) Q

• #rsyslog v3 config file
  
• # if you experience problems, check
  
• # http://www.rsyslog.com/troubleshoot for assistance
  
• #### MODULES ####    加载 模块
  + m5 a+ a+ T5 B- k# ~
• $ModLoad imuxsock.so  –> 模块名    # provides support for local system logging (e.g. via logger command) 本地系统日志
  ) Q5 @* y/ {7 |$ @
• $ModLoad imklog.so                    # provides kernel logging support (previously done by rklogd)
  
• #$ModLoad immark.so              # provides –MARK– message capability
  4 K% r, H; _; x; K6 _
• # Provides UDP syslog reception
  
• # 允许514端口接收使用UDP协议转发过来的日志
  - Z) D3 U# E% Q8 j5 z* I" F( g
• #$ModLoad imudp.so
  : k5 Z; q' K6 Q0 N! d
• #$UDPServerRun 514
  
• # Provides TCP syslog reception
  
• # 允许514端口接收使用TCP协议转发过来的日志
  
• #$ModLoad imtcp.so
  
• #$InputTCPServerRun 514
  
• #### GLOBAL DIRECTIVES ####
    I- y" |6 Y% V: b& D
• 定义日志格式默认模板  
  ! w" d! W+ X2 S% B( z
• # Use default timestamp format
  
• $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat  
  5 Z& L" A* S' k& K/ H, Q- M
• # File syncing capability is disabled by default. This feature is usually not required,
  2 B, n" ^1 ~# N. r
• # not useful and an extreme performance hit
  
• #$ActionFileEnableSync on
  . W& U+ b2 k* o7 I/ l
• #### RULES ####
  - U% @. }4 n6 }- o
• # Log all kernel messages to the console.
  2 h$ v6 x0 G& j. S9 x- x  U
• # Logging much else clutters up the screen.
  
• #kern.*                                                 /dev/console    关于内核的所有日志都放到/dev/console(控制台)
  
• # Log anything (except mail) of level info or higher.
  8 Y' j  n' P, m3 `8 T. r
• # Don’t log private authentication messages!
  
• # 记录所有日志类型的info级别以及大于info级别的信息到/var/log/messages，但是mail邮件信息，authpriv验证方面的信息和cron时间任务相关的信息除外
  ( Q! p% Y; g, I$ h  C
• *.info;mail.none;authpriv.none;cron.none                /var/log/messages  
  
• # The authpriv file has restricted access.
  8 C7 E# G0 ]* z1 q
• # authpriv验证相关的所有信息存放在/var/log/secure
  
• authpriv.*                                              /var/log/secure  
  
• # Log all the mail messages in one place.
  + [- d4 l) i& c9 V' I+ p9 s/ F8 V
• # 邮件的所有信息存放在/var/log/maillog; 这里有一个-符号, 表示是使用异步的方式记录, 因为日志一般会比较大
  . E. B, s% M: K- L& o6 M5 r
• mail.*                                                  -/var/log/maillog  
  
• # Log cron stuff
  
• # 计划任务有关的信息存放在/var/log/cron
  
• cron.*                                                  /var/log/cron  
  0 {$ F& l* I% z2 L; y; Q4 u4 U
• # Everybody gets emergency messages
  ; ~) C/ R; ^3 Q
• # 记录所有的大于等于emerg级别信息, 以wall方式发送给每个登录到系统的人
  
• *.emerg                                                 *                  *代表所有在线用户  
  " x) M- z- d4 h5 Y8 t/ K4 G+ s
• # Save news errors of level crit and higher in a special file.
  & K( ~0 G0 \9 q* p
• # 记录uucp,news.crit等存放在/var/log/spooler
  
• uucp,news.crit                                          /var/log/spooler  
  $ H: k* W- x+ u* c6 c- \. L
• # Save boot messages also to boot.log     启动的相关信息
  - H, [2 W, F% b4 |# J
• local7.*                                                /var/log/boot.log
  ( t' {% n- k0 Y. g% c" X2 Z  o3 p
• #:rawmsg, contains, “sdns_log” @@192.168.56.7:10514
  9 y( a6 o" O9 v" @$ \0 P) D" D- V
• #:rawmsg, contains, “sdns_log” ~
    @& c0 M8 X" o9 @9 ?! ]8 X
• # ### begin forwarding rule ###  转发规则
  ! j/ x0 m7 k5 A" g+ q4 ^$ O
• # The statement between the begin … end define a SINGLE forwarding
  5 b$ q7 V8 H$ t' X* d
• # rule. They belong together, do NOT split them. If you create multiple
  
• # forwarding rules, duplicate the whole block!
  
• # Remote Logging (we use TCP for reliable delivery)
  ' S  F% y! f% U& S/ a- ]+ c
• #
  
• # An on-disk queue is created for this action. If the remote host is
  
• # down, messages are spooled to disk and sent when it is up again.
  
• #$WorkDirectory /var/spppl/rsyslog # where to place spool files
  ; L; r) D5 Q8 t/ n- X
• #$ActionQueueFileName fwdRule1 # unique name prefix for spool files
  ' Q' e5 E5 z" Y" p  z! Q
• #$ActionQueueMaxDiskSpace 1g   # 1gb space limit (use as much as possible)
  3 \. c) `4 _. L7 F) Z
• #$ActionQueueSaveOnShutdown on # save messages to disk on shutdown
  
• #$ActionQueueType LinkedList   # run asynchronously
  & L# _0 n* V4 |) Z0 g
• #$ActionResumeRetryCount -1    # infinite retries if host is down
  5 B1 v' l) B4 |) o! j; @
• # remote host is: name/ip:port, e.g. 192.168.0.1:514, port optional
  * D+ b# E+ i# u5 `5 v% s+ i* S
• #*.* @@remote-host:514                    # @@表示通过tcp协议发送    @表示通过udp进行转发
  7 {' t, B/ }4 h2 |
• #local3.info  @@localhost :514
  * O* d: N8 a/ P- I- P
• #local7.*                                    #            @@192.168.56.7:514
  
• # ### end of the forwarding rule ###
  
  - @) I2 e' G, l1 E$ S$ N' A

# [9 ^# d2 x$ h' I) j- l

格式::
7 l4 f3 ?& d' O) |日志设备(类型).(连接符号)日志级别   日志处理方式(action)
日志设备(可以理解为日志类型):
- z8 z2 \  N3 ?———————————————————————-
auth        –pam产生的日志
+ c8 r3 y5 h# P& I5 ?authpriv    –ssh,ftp等登录信息的验证信息
0 n6 f9 l# c) J$ O0 m8 pcron        –时间任务相关
; W' O1 k: n$ s. o8 \( ?- e' ^  {- Ikern        –内核
lpr         –打印
mail        –邮件
# o  g8 }" i4 N' X" {mark(syslog)–rsyslog服务内部的信息,时间标识
. D2 w3 Y9 y9 w7 Cnews        –新闻组
) T/ b0 T. a* j6 _! w& |0 @, luser        –用户程序产生的相关信息
( E+ Z) X2 L: m- f3 L7 l; A* m4 J5 m' Tuucp        –unix to unix copy, unix主机之间相关的通讯
0 E+ {% f4 H2 \2 F7 @6 Blocal 1~7   –自定义的日志设备
$ \9 A7 s* C" r日志级别:
' g! S1 {: A. P$ M1 u2 f6 P———————————————————————-
6 F. o( Q2 `* c8 m6 J; S' cdebug       –有调式信息的，日志信息最多
info        –一般信息的日志，最常用
8 ?9 k3 d$ C2 z5 F! K) qnotice      –最具有重要性的普通条件的信息
0 p$ O+ k9 R. ]" r2 s8 z7 D; a. b2 Vwarning     –警告级别
err         –错误级别，阻止某个功能或者模块不能正常工作的信息
9 W. t9 }- L* @. k$ f* H$ |crit        –严重级别，阻止整个系统或者整个软件不能正常工作的信息
+ Z  A2 S5 B: Y/ n- e& Qalert       –需要立刻修改的信息
' @' m$ [: ~$ L" ]4 ~5 ^# Zemerg       –内核崩溃等严重信息
none        –什么都不记录
8 e2 \$ ]" i+ n, l5 g$ o4 Z$ ]从上到下，级别从低到高，记录的信息越来越少
详细的可以查看手册: man 3 syslog
连接符号
) t* L$ O) Y% n———————————————————————-
, r  O0 _9 l0 ]. P3 p. X8 T.xxx: 表示大于等于xxx级别的信息
: @% d" E' I( k, `& @7 C; |.=xxx：表示等于xxx级别的信息
- y3 _* C7 h! `0 J1 C.!xxx：表示在xxx之外的等级的信息
Actions
———————————————————————-
1. 记录到普通文件或设备文件::
1 B# v9 d& D4 ]5 l3 i7 c0 j*.*     /var/log/file.log   # 绝对路径
*.*     /dev/pts/0
测试: logger -p local3.info ‘KadeFor is testing the rsyslog and logger ‘   logger 命令用于产生日志
- Y5 v7 G( Y6 Y* s, X% Y0 E8 k2. 转发到远程::
*.* @192.168.0.1            # 使用UDP协议转发到192.168.0.1的514(默认)端口
*.* @@192.168.0.1:10514     # 使用TCP协议转发到192.168.0.1的10514(默认)端口
: B$ O; i% h6 x3. 发送给用户(需要在线才能收到)::
6 D  q% B6 M1 R: |*.*   root
*.*   root,kadefor,up01     # 使用,号分隔多个用户
*.*   *     # *号表示所有在线用户
  B: j+ {7 n" E' y3 a9 Q5 W4. 忽略,丢弃::
1 D7 R* h# y. Z+ z' nlocal3.*   ~    # 忽略所有local3类型的所有级别的日志
/ E$ x" F% @) h$ m! t& k% m8 I2 J5. 执行脚本::
1 x4 E$ p8 ?/ @8 z6 Dlocal3.*    ^/tmp/a.sh      # ^号后跟可执行脚本或程序的绝对路径
- }6 L8 D  j' _8 t5 F# 日志内容可以作为脚本的第一个参数.
# 可用来触发报警
.. note::
7 T& T) o) h9 F! B0 y) |' l( @& _日志记录的顺序有先后关系!
======================================================================
一个标准的简单的配置文件
======================================================================
0 f8 A1 A. Y3 R( |$ W; ?9 h::
) l. V* F+ o, K: O9 p* W9 _1 o*.info;mail.none;authpriv.none;cron.none      /var/log/messages
9 _0 q  A2 \9 J( T% ]. Oauthpriv.*                                    /var/log/secure
mail.*                                        /var/log/maillog
cron.*                                        /var/log/cron
*.emerg                                       *
) b; a3 J' S6 i. luucp,news.crit                                /var/log/spooler
local7.*                                      /var/log/boot.log
' d! E% t  P+ L5 k8 Y- K======================================================================
实例: 指定日志文件, 或者终端
4 Q3 P) b3 T! ?8 [======================================================================
[root@kadefor ule-sa3]# vi /etc/rsyslog.conf
( [# p% t- B1 L, T) V) f[root@kadefor ule-sa3]# grep local3 !$
; O$ p- a3 B& v' W1 vgrep local3 /etc/rsyslog.conf
7 V0 P  S! X, J  tlocal3.*                                                /var/log/local3.log
6 x- O; r: }" m; i0 ]5 A* d[root@kadefor ule-sa3]# rm -rf /var/log/local3.log
' a* t9 n0 b8 A+ J[root@kadefor ule-sa3]# /etc/init.d/rsyslog reload
" \1 R+ k0 Y! r; ?5 RReloading system logger…                                 [  OK  ]
9 a4 t+ A& y7 d. O[root@kadefor ule-sa3]# ls /var/log/local3.log
/var/log/local3.log
[root@kadefor ule-sa3]# logger -t ‘LogTest’ -p local3.info ‘KadeFor is testing the rsyslog and logger’
[root@kadefor ule-sa3]# cat /var/log/local3.log
* g+ B7 Y3 g6 X( ]5 w/ z: bJun 10 04:55:52 kadefor LogTest: KadeFor is testing the rsyslog and logger
[root@kadefor ule-sa3]#
- O9 Z- X, d0 w$ p/ M$ F: D自己实验日志发送给某个终端
% K/ t  v$ E' V% [3 Z======================================================================
  y7 p/ p: Y8 i! m. i0 `实例:  过滤特定的日志到文件, 忽略(丢弃)包含某个字符串的日志
======================================================================
7 Q+ E7 R4 ?3 E& o# 过滤日志, 由:号开头
:msg, contains, “error” /var/log/error.log
:msg, contains, “error” ~         # 忽略包含error的日志
:msg, contains, “user nagios”   ~
:msg, contains, “user kadefor”   ~
:msg, contains, “module-alsa-sink.c: ALSA woke us up to write new data to the device, but there was actually nothing to write” ~
local3.*    ~
PS.
&   ~       # 忽略所有的日志
1 d) K0 W8 O( J! R3 {8 `把包含’oracle’的日志保存在/var/log/oracle.log
+ n: Y6 }. o- e6 K. O. M$ }======================================================================
% j$ \  K, k& Y, J. B# G实例:  使用模板来定义日志格式
======================================================================
/ Y. L& U  b& @3 Y% u8 G( v定义默认的日志格式:

• $template myFormat,”%rawmsg%\n”  
  
• $ActionFileDefaultTemplate myFormat  
  
• #如果不要$ActionFileDefaultTemplate myFormat这一行, 就需要像这样来使用模板:
  5 u% S( f7 l" s/ F$ N; Y7 s
• #在日志文件后添加模板名, 并用;号分隔
  : B' a! F# a& V/ f) i) p9 z: _
• $template myFormat,”%rawmsg%\n”  
  4 @  C9 f4 w7 U+ u4 [6 I: ?
• # The authpriv file has restricted access.
  8 {! ]$ C5 \: b7 E$ x
• authpriv.*      /var/log/secure;myFormat  
  
• # Log all the mail messages in one place.
  ( p% K' [+ l9 y" ^, {" O2 x! S3 |0 Y7 s
• mail.*          /var/log/maillog;myFormat  
  
• # Log cron stuff
  3 O6 R) H! v3 y' G& ~, X* ]
• cron.*          /var/log/cron;myFormat  
  
• # Everybody gets emergency messages
  
• *.emerg                                       *  
  4 c1 x- w  m/ b+ {% y: `
• # Save news errors of level crit and higher in a special file.
  
• uucp,news.crit  /var/log/spooler;myFormat  
  
• # Save boot messages also to boot.log
  
• local7.*        /var/log/boot.log;myFormat  
  ! t% o! e; p8 }
  $ y% G, i6 q  g' Q/ Q( v8 s

======================================================================
; P; A6 G" }, h* {8 K7 i' F0 J实例: remote log 远程发送与接收:
3 e; F, R3 Q# S: X4 g======================================================================
如果要修改为非514的端口, 需要设置selinux
只要在rsyslog.conf中加入
0 {$ U3 U- N* h2 M% v% e  l*.* @192.168.0.10
2 o5 m7 v) p, w5 h! n*.* @192.168.0.10:10514     # 带端口号
( F6 `' M7 u" V7 }*.* @@192.168.0.10      # TCP
但是没有定义保存在远程的哪一个文件啊?
5 A9 X" i8 n4 w3 h) R: S其实保存在什么文件, 那是远程日志服务器接收到日志之后它自己的事情了.
例1:
8 o3 N4 `; G$ a& \$ ]^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
———————————————————————-
Client(send):
———————————————————————-
::
local3.*   @@192.0.2.1:10514
; j3 p: m# C; ^& Q- e3 I* G+ x$ f! Q# if you need to forward to other systems as well, just
# add additional config lines:
# *.*   @@other-server.example.net:10514
) M: z2 o9 Y! i  \( i3 L# Log anything (except mail) of level info or higher.
! b& F' g/ H. y- U# @4 s5 q& U8 W# Don’t log private authentication messages!
% q# d/ \) |  S" ]8 ?*.info;mail.none;authpriv.none;cron.none      /var/log/messages
# The authpriv file has restricted access.
* ]( Y3 a9 H. ~4 R! R1 pauthpriv.*                                    /var/log/secure
# Log all the mail messages in one place.
1 ?% f6 O8 C1 L' P8 ^4 h% Y8 p/ i; rmail.*                                        /var/log/maillog
# Log cron stuff
cron.*                                        /var/log/cron
# Everybody gets emergency messages
6 e0 k0 N& E- d$ n5 f*.emerg                                       *
& R1 d1 k' ^3 Z( A; \! p# Save news errors of level crit and higher in a special file.
6 ?- Z5 ^) m5 ?8 u# @/ Tuucp,news.crit                                /var/log/spooler
# Save boot messages also to boot.log
/ G, E, ]9 r0 r- Z; T; |$ _( n* }local7.*                                      /var/log/boot.log
———————————————————————-
Server(receive): <1>
———————————————————————-
::
+ e* w; P# a) v6 u# for TCP use:
$modload imtcp
$InputTCPServerRun 10514
# for UDP use:
6 t! J7 p9 E) B9 w$modload imudp
+ x, S: m7 u* a6 O# s2 R8 z$UDPServerRun 514
# Log anything (except mail) of level info or higher.
( }' r( U1 i4 V% ]# Don’t log private authentication messages!
+ w1 \8 N' M" R1 g; w# u  B*.info;mail.none;authpriv.none;cron.none      /var/log/messages
# The authpriv file has restricted access.
authpriv.*                                    /var/log/secure
# Log all the mail messages in one place.
mail.*                                        /var/log/maillog
% K) [& U" f2 s! b1 l7 ?. e1 P/ C# Log cron stuff
cron.*                                        /var/log/cron
# Everybody gets emergency messages
*.emerg                                       *
# Save news errors of level crit and higher in a special file.
* A; G" R5 z. ^/ t% cuucp,news.crit                                /var/log/spooler
+ v6 \; b( E9 Q2 W5 s# Save boot messages also to boot.log
local7.*                                      /var/log/boot.log
  F, m6 d) ?5 O/ s, N3 y: }local3.*    /var/log/local3.log     # 测试用
; s$ J0 Z! E& r+ O* V: D" \$ b1 U例2 (仅做了解, 不做要求)
* @, j& ^6 r' W6 I9 e! Z; r0 U, ]) N; }^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
#配置服务端(接收)
———————————————————————-
vi /etc/rsyslog.conf        #在文件开始加上，同时确保514端口能够被客户端用tcp访问
$ModLoad imtcp.so              # needs to be done just once #使用tcp方式
$InputTCPMaxSessions 500    # tcp接收连接数为500个
$InputTCPServerRun 514      # tcp接收信息的端口
4 G' o, B" h: M; s0 t) X2 p$template logformat,”%TIMESTAMP:::date-mysql% %FROMHOST-IP%%msg%\n”     # 定义一个名为logformat模板, 为信息加上日志时间
3 Z4 y3 {! O3 q$template DynFile,”/var/log/tlog%$year%%$month%%$day%.log”     # 定义日志文件的名称，按照年月日
:rawmsg, contains, “sdns_log” ?DynFile;logformat    # 把rawmsg(也可以使用msg)日志中包含sdns_log标志的信息写到DynFile定义的日志文件里
:rawmsg, contains, “sdns_log”  ~                     # 这个表示丢弃包含sdns_log标志的信息, 一般都加上它, 以免多个日志文件记录重复的日志
$ K' [9 {5 N& H5 c3 E#配置客户端(发送)
: @$ P3 @1 ~! E, B———————————————————————-
6 x- y0 I  j5 n& f! T5 ?" Nvi /etc/rsyslog.conf  #在文件开始加上
2 r0 q/ Q% ]9 U! g#把包含sdns_log的信息通过tcp发到192.168.1.2 @@表示tcp @表示udp
:rawmsg, contains, “sdns_log”       @@192.168.1.2       # 默认514端口
$ T/ X7 C8 P* F) U" k% |#这个表示丢弃包含sdns_log标志的信息,防止这个信息写到本机的/var/log/message
:rawmsg, contains, “sdns_log”       ~
5 k  D1 g# }* n2 ]& x( s#测试
———————————————————————-
在客户端上执行
logger -p user.info “sdns_log 34334″
$ m/ K+ g$ t7 w/ X+ D+ A在服务端的/var/log/目录里是否有tlog*日志产生
补充:
1 ~% d' I* z8 b& ^0 P———————————————————————-
! m) x- i  E# D& y: f1 }) k如果要把不同服务器发送过来的日志保存到不同的文件, 可以这样操作:
:fromhost-ip, isequal, “192.168.0.160″ /var/log/host160.log
1 ~9 R( R( Z. K6 \4 K:FROMHOST-IP, isequal, “192.168.0.161″ /var/log/host161.log
:FROMHOST-IP, startswith, “192.168.1.” /var/log/network1.log
:FROMHOST-IP, startswith, “192.168.2.” /var/log/network2.log
( j$ W3 b1 @4 a  i3 j练习:
======================================================================
% g1 u- I9 }2 D% U! q; D1. 实现把ssh服务的日志自定义保存到/var/log/newsshd.log (先不做)
" h1 w" ^6 Z7 J. a/ G5 U2. mail日志保存在远程日志服务器/var/log/newmail.log
3. 过滤日志, 如果日志包含有”daydayup”, 则执行脚本/tmp/a.sh
脚本内容:
8 H8 _* \6 ]. K8 h( f4 d#!/bin/bash
! Q# Y! C+ L) Z3 \: Hecho  “KO::** $1″ > /dev/tty2
======================================================================
logrotate服务
# w+ ?& i. Q+ ~) J/ L) g: E======================================================================
9 P' m! a3 P% x: E& R4 {! Drotate 轮换,日志切换
logrotate服务的启动方式
! t2 l; u# k: M( _" [1 G0 Alogrotate是一个日志管理程序，用来把旧的日志文件删除（备份），并创建新的日志文件，这个过程称为“转储”。我们可以根据日志的大小，或者根据其使用的天数来转储。
* ^1 K4 |; x! A( ylogrotate 的执行由crond服务实现。在/etc/cron.daily目录中，有个文件logrotate，它实际上是个shell script，用来启动logrotate。logrotate程序每天由cron在指定的时间（/etc/crontab）启动。
) @" L4 V+ M' [& ]因此，使用ps是无法查看到logrotate的。如果它没有起来，就要查看一下crond服务有没有在运行。
) \/ F& Y$ I6 L  p) q3 c在执行logrotate时，需要指定其配置文件/etc/logrotate.conf
这 个配置文件的注释写得很清楚，没有必要再罗嗦了。只想强调下面这行，它的作用包含存放在/etc/logrotate.d目录下面的配置文件，不可或缺。 如果你安装了一个新的服务，它的日志转储的规则可以建立一个专门的配置文件，放在/etc/logrotate.d下面。它其实也因为下面的这句话，在 logrotate服务启动时被读取。
6 L% {# o% W8 H每个存放在/etc/logrotate.d目录里的文件，都有上面格式的配置信息。在{}中定义的规则，如果与logrotate.conf中的冲突，以/etc/logrotatate.d/中的文件定义的为准。
1 y. B* G' Q, F; Glogrotate启动脚本放在 /etc/cron.daily/logrotate 中，可人工执行命令进行测试：
( ]9 W/ m. i" A  t6 @8 u/usr/sbin/logrotate -f /etc/logrotate.conf
dateext表示转储文件会以日期来结束*
::
2 L" @9 m2 i$ H9 N& ][root@kadefor log]# vim /etc/logrotate.conf
# see “man logrotate” for details
" J2 q- ^+ ]" R# rotate log files weekly
! Q7 Q3 p) l1 ~  k  t5 V3 zweekly          –每周轮转一次
# keep 4 weeks worth of backlogs
* }" A) ]8 u+ z! m6 frotate 4        –保留四个
$ x8 h: n* d) _4 O# create new (empty) log files after rotating old ones
create          –rotate后，创建一个新的空文件
" @. E2 ^( l  v& T9 i3 n# uncomment this if you want your log files compressed
* n: @# y3 p6 f#compress       –默认是不压缩的
# RPM packages drop log rotation information into this directory
* p. t' C. N: S5 |' m) rinclude /etc/logrotate.d        –这个目录下面配置文件生效
+ l, I2 Q* u/ ~. c# no packages own wtmp — we’ll rotate them here
/var/log/wtmp {             –定义/var/log/wtmp这个日志文件
monthly                 –每月轮转一次，取代了上面的全局设定的每周轮转一次
/ \. u% l' o2 d1 G, X! u1 T- hminsize 1M              –定义日志必须要大于1M大小才会去轮转
2 i3 m2 I1 H/ y  j4 R# L0 o) kcreate 0664 root utmp   –新的日志文件的权限，属主，属主
; \: b  }; E" J- i9 @) trotate 1                –保留一个，取代了上面的全局设定的保留四个
}
/var/log/btmp {
5 F% X# S$ T0 h( vmissingok       –如果日志丢失, 不报错
! K5 Q% i! |! H2 cmonthly
create 0600 root utmp
rotate 1
}
8 {1 h. _9 t8 z& c::
# sample logrotate configuration file
: Y- O7 q; U+ s' v  ]1 y" ecompress
0 i: Y1 R$ Y" i/ J! p# 全局设置, 压缩
* T' Z2 i1 D+ ~# F4 \) n/var/log/messages {
rotate 5     # 保留5份日志
weekly       # 每周轮换一次
postrotate   # 轮换之后重启syslogd服务
" E- Y( u6 M6 N% ]+ l! U% Z/usr/bin/killall -HUP syslogd
- D) O5 e5 [5 L# rhel6中为:/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
# 可查看/etc/logrotate.d/下的配置文件
endscript
6 l7 N* _# s8 h2 R}
2 m/ r% O4 h" o+ H& F“/var/log/httpd/access.log” /var/log/httpd/error.log {   #  指定多个文件, 如果有特殊字符需要用单引号
( o% p! G" R' o' q8 Z: a% o( Qrotate 5
# S4 ]2 x4 v+ vmail www@my.org
size 100k        # 超过100k后切换日志, 并把老的日志发送邮件给www@my.org
4 I* M* m0 h3 G( M  p: Qsharedscripts    # 共享脚本. 下面的postrotate脚本只运行一次.
postrotate
/usr/bin/killall -HUP httpd
endscript
}
/var/log/news/* {    # 少用通配符, 因会它会包括已经切换过的日志, 要用的话最好在*号后加上扩展名, 如*.log
5 r) q, y3 A9 d: ]0 I' bmonthly
1 E7 s, z$ O2 L! urotate 2
  r  O, c' M/ {olddir /var/log/news/old
& J% F" O5 p6 V! |3 l. xmissingok
postrotate
" F+ L4 w  @0 M$ L/ h; D, J$ `kill -HUP ‘cat /var/run/inn.pid‘
3 C* z2 c& h) P, [2 B' Vendscript
0 s  n* Z5 @+ \' Q  B& [3 Jnocompress
/ `+ ]3 q! }  c$ k}
0 P- }* n1 \# c* C+ {% ]例：
# q$ W- B9 j8 ?$ ?修改/etc/logrotate.conf
  C, I# p: w4 b8 D' \4 C2 a5 N/var/log/wtmp {
monthly
9 P) H! Z9 }. b3 Y, wminsize 10k
create 0664 a b
# \, y( s. {; orotate 2
}
" f3 u- Z( V: d2 V$ {% `; i$ W4 p. vlogrotate -f /etc/logrotate.conf  –强制轮转
logrotate -vf /etc/logrotate.conf    –再加一个-v参数查看轮转的过程
———————————
; A( P( D6 k9 a7 ][root@kadefor log]# vim /etc/logrotate.d/syslog
6 G, S' e, [4 H/ W) O! N( T# }/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler /var/log/boot.log /var/log/cron {
sharedscripts   –表示切换时脚本只执行一次
postrotate      –表示rotate后执行的脚本
% f: O( w2 D* B( x0 e/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
# B' t  r9 r+ u% u0 O/ p9 n( J/bin/kill -HUP `cat /var/run/rsyslogd.pid 2> /dev/null` 2> /dev/null || true
endscript       –表示脚本结束
}
[root@kadefor log]# logger -t ‘aaaa’ ‘bbbbbb’–在日志里加一个内容tag和内容
) w" s" `" V, C- h[root@kadefor log]# tail /var/log/messages
Jun 12 19:38:55 kadefor dhclient[3166]: bound to 192.168.1.101 — renewal in 3384 seconds.
Jun 12 20:34:22 kadefor aaaa: bbbbbb

admin

在 Linux 系统中，日志文件记录了系统中包括内核、服务和其它应用程序等在内的运行信息。
在我们解决问题的时候，日志是非常有用的，它可以帮助我们快速的定位遇到的问题。

3 L2 `- V$ t: Y7 ~% O, g" B2 _! }在 Cent OS 6中，日志是使用rsyslogd守护进程进行管理的，该进程是之前版本的系统中syslogd的升级版，对原有的日志系统进行了功能的扩展，提供了诸如过滤器，日志加密保护，各种配置选项，输入输出模块，支持通过 TCP 或者 UDP 协议进行传输等。

9 z- K) x& q' a2 |1 m1 j3 n1 C) crsyslog的配置文件为 /etc/rsyslog.conf , 大多数日志文件都位于 /var/log/ 目录中。

定位日志文件
% ]* ~+ R( j+ y9 \9 S大多数日志文件都位于 /var/log/ 目录中。在该目录中，你可能注意到很多日志文件末尾包含一串数字（如 maillog-20150301 ），这说明这些日志文件经过了日志转储，这样可以避免日志文件过大。
) y7 }2 v) R" I" A& `
在软件包logrotate中包含了一个定时任务，根据/etc/logrotate.conf文件和/etc/logrotate.d/目录中的的配置定期的转储日志文件。
Rsyslog基本配置
* ~5 I# r7 d9 Y( i7 l6 x' KRsyslog 的主要配置文件为 /etc/rsyslog.conf 文件，在配置文件中，我们通过配置 filter 以及 action 对日志进行管理。
' r* v; w( r' G$ f
  {; u% W4 u2 Z# \; j# w在rsyslog配置文件中，使用如下格式定义规则

+ V6 B- n7 J/ G9 T! f, C: q% Jfilter        action
rsyslog发现符合 filter 规则的日志后，会将日志发送到 action 指定的动作进行处理。

Filter
# h0 ]7 F) P2 w- W0 p( x5 Y, n
% o# P  j0 Z/ ?& l! B9 e在rsyslog中，提供了三种方式的过滤器方法：

基于设施/优先级的过滤器 (Facility/Priority-based filters)
3 t7 w+ k0 f4 Q4 k) v( q- @- Z1 n
基于设施/优先级的过滤器是最常用的方法，语法如下：
! Z6 g2 l/ z1 u# x- Z) i4 B
FACILITY.PRIORITY
( T! G1 P+ N7 ~" i) v9 y8 XFACILITY指定了产生日志消息的子系统，可选值为 auth , authpriv , cron , daemon , kern , lpr , mail , news , syslog , user , ftp , uucp , local0 ~ local7 。

) f4 k) D' ~2 e2 aPRIORITY指定了日志消息的优先级，可用的优先级包含 debug (7) , info (6) , notice (5) , warning (4) , err (3) , crit (2) , alert (1) , emerg (0) 。

前置符号=表明只有该优先级的消息会被捕获，!表明除了该优先级的消息之外的优先级会被捕获。除了前置符号外，可以使用符号*
- B4 u  I/ k! H表示所有的设施或者优先级，对优先级部分使用none关键字会捕获所有没有指定优先级的消息。
- G8 ?+ V/ \; Z# b2 r( S$ V6 b
( c) ^) ^5 A. w( Z  [* J5 w5 H定义多个设施或者优先级使用,分隔，如果是多个 filter 的话，则使用;进行分隔。
- g! o" V/ o. @
6 _" E- }: K' `: b使用范例

1 q1 \* s5 `" s" u* a8 \0 fkern.*                    # 选择所有优先级的内核日志
mail.crit                 # 选择所有mail 的优先级高于crit的日志
  x6 F: Z7 w# {) f3 fcron.!info,!debug         # 选择除了 info 和 debug 优先级的 cron 日志
基于属性的过滤器
! |8 _# n3 M' U% \; U5 G: N% D4 @, H
基于属性的过滤器语法
; `8 R, h4 i0 i0 r
:PROPERTY, [!]COMPARE_OPERATION, "STRING"
:PROPERTY是要比较的日志属性，COMPARE_OPERATION 为要执行的比较操作，这个的!表示取反的意思，"STRING"为比较的值。

可以使用的比较操作：
4 E) ~7 [9 O& n$ D, ?. l
比较操作        描述
  @  c6 R( R% d6 n9 E+ L8 G& Dcontains        匹配提供的字符串值是否是属性的一部分，如果不区分大小写，使用contains_i
+ B) z5 n& S8 f' ]1 L) }( Visequal        比较属性和值是否相等
startswith        属性是否以指定字符串开始(startswith_i)
- P! \5 {3 u, {4 wregex        正则表达式(POSIX BRE 基本正则)匹配
ereregex        正则表达式(POSIX ERE 扩展正则)匹配
: t5 w% w4 H, t+ D/ u% _isempty        判断属性是否为空，不需要 value
使用范例：
+ Z" u) h3 J& h8 @8 q
:msg, contains, "error"
:hostname, isequal, "host1"
( T2 b; w) d7 o6 Z; e:msg, !regex, "fatal .* error"
基于表达式的过滤器

基于表达式的过滤器使用了rsyslog自定义的脚本语言RainerScript构建复杂的filter，这里暂时不对这种方法进行讲述。
# _$ P* e1 m' z. t
Action
$ w9 A5 C0 S( p
7 O; ?8 L$ e0 X6 G! G. TAction定义了当匹配指定的 filter 的时候，执行什么操作。
8 l7 g6 X0 F0 a- J' J
7 [/ K6 H# y2 v$ E( x- Q- W6 ?  R" I如果要指定多个 ACTION， 使用 &连接多个 ACTION。
/ X, P7 y, B- F. h) I/ ]例如：

   kern.=crit user1
   & ^test-program;temp
1 d7 c! Q9 L- o* N   & @192.168.0.1
这里的;temp指定了传递日志给 test-program 程序时（ ^ 开头表明日志发送给该可执行文件），使用它 temp 模板格式化日志。
) \% W) d$ R% [( g4 A8 s9 k4 _在 ACTION 后面追加;模板名称可以为指定的 action 使用该模板格式化日志。
3 _7 C: E' \1 ], J; p) U1 y
/ u+ _# v' w; u2 [" ~; N保存日志到日志文件
% O# b9 X6 e5 x; P( c$ G
, g1 e' A$ Z. u1 b8 c8 f0 M: O语法：
' C% p; ]6 f/ C8 I
: B: Z  ^4 z1 N7 I/ @; ?  ZFILTER PATH
/ p% m5 U  k$ G! G' r  C这里的 PATH 指定了日志要保存到的文件。例如 cron.* /var/log/cron.log 指定了所有的定时任务日志都写入到/var/log/cron.log文件。
: _# l, Y- o! i) a8 @
5 ?4 M  F& _' C8 K/ U默认情况下，每次生成 syslog 的时候，日志信息会同步到日志文件。可以在文件路径前使用 - 指定忽略同步（如果系统崩溃，会丢失日志，但是这样可以提高日志性能）。
! f# I6 e, j* n( G3 G6 c除了上述方法记录日志（静态），也可以动态的生成日志文件。
# C, Q) i/ s- |  Q1 r; m; a
FILTER     ?DynamicFile
  ]: X; P2 y! |# g这里的DynamicFile是预定义的输出路径模板。

通过网络发送syslog
; h' @4 v/ T3 E- X( A6 q
# J: s3 H: q7 }( N0 ^rsyslog可以使用网络将日志消息发送或者接受日志，使用这个特性，可以实现使用单一的日志服务器统一管理多台服务器日志。

' j/ u$ k( T+ r0 M@[(zNUMBER)]HOST:[PORT]
& \/ ]+ W& C. M9 w4 w) v这里的@告诉syslog使用 UDP 协议发送日志，要使用 TCP 的话，使用 @@。可选值zNUMBER设置了是否允许使用zlib对日志压缩（压缩级别1-9）。

使用范例

/ Q# D3 r: s* |- L% C7 Z*.* @192.168.0.1        # 使用 UDP 发送，默认端口514
*.* @@example.com:18    # 使用 TCP 发送到端口18， 默认10514
  e% `4 H2 @# A, U5 j*.* @(z9)[2001:db8::1]  # UDP, ipv6，使用zlib级别9压缩
丢弃日志
$ {) S& n9 v) S, ]0 c6 a# H
要丢弃日志消息，使用~动作。

, c4 J; K& y: H  k+ m( wFILTER    ~
例如：
, M5 x; e$ g. S5 s+ ]7 E+ k
cron.* ~
模板

任何rsyslog生成的日志都可以根据需要使用模板进行格式化，要创建模板，使用如下指令

6 @( R5 K+ u0 s% k; v$template TEMPLATE_NAME,"text %PROPERTY% more text", [OPTION]
这里的$template指令表明了接下来的内容定义了一个模板，TEMPLATE_NAME是模板的名称，接下来双引号之间的内容为模板的内容。

8 c! b* }1 h" S这里还有一个 OPTION ， 它指定了模板的功能，支持选项为sql和stdsql，在使用数据库存储的时候会用到。
: h! b& K" F, o/ n/ m生成动态文件名

7 b! d$ B( v9 {; W. \% {模板可以用来生成动态文件名，就如之前所述，在使用动态文件名的时候，需要在 ACTION 中的模板名称前增加?表明该文件名是动态生成的。

7 U% N& Y/ h5 \* U* R! v! s7 D4 s例如:
0 C% H" ~7 J3 W1 W" g! V+ Z+ r
* F+ B2 x1 ]; e& C' V4 U$template DynamicFile,"/var/log/test_logs/%timegenerated%-test.log"
% h/ N' B9 Y  n2 P! z! H& N' G& O*.* ?DynamicFile
timegenerated属性从日志信息中提取出消息的时间戳，这样可以为每个日志生成唯一文件名称。
6 h+ c2 D/ T, P) e- l7 V属性
& m# Y3 X, a  K8 |/ f, S. _! j
在模板中使用的属性是在%之间的内容，使用属性可以访问日志消息中的内容。

& l0 a* g  N/ u, j9 l! ?8 ?* A%PROPERTY_NAME[:FROM_CHAR:TO_CHAR:OPTION]%
0 v8 I7 p8 u. V/ w" r1 L4 ]可用的属性列表见man rsyslog.conf。
) A6 l' t* u. A4 C
( K& }9 z$ z1 ~全局指令
/ V4 `& R1 f/ l! g# S5 r1 o
全局指令是rsyslogd守护进程的配置指令。所有的全局指令必须以$开始，每行只能有一个指令，例如：
% D7 o2 L6 t1 }
$MainMsgQueueSize 50000
在新的配置格式中(rsyslog v6)，已经不在使用这种方式的指令，但是它们仍然是可用的。
3 I' _5 D4 j- N8 p! N. M" A队列
在 rsyslog 中，队列用来传输数据，当 rsyslog 接收到一个消息的时候，首先传递消息预处理器，然后加入到主消息队列，接下来消息会从队列中取出传递给规则处理器。
/ Y% Z! C1 i$ l- v4 S/ i: f  U5 o/ n


: R# P# u7 e) a8 P9 h7 N3 |规则处理器是一个解析过滤引擎，它会基于配置文件中定义的规则，执行相应的动作(action)，每一个动作都有自己的动作队列，消息通过这个队列发送到对应的动作处理器，然后输出。

8 r) B' u) p2 Q; f对于同一个消息来说，可以同时传递这个消息给多个动作队列。
定义队列

在配置文件/etc/rsyslog.conf文件中
; ?0 D5 V8 Q  V  }* |* H
3 c; |1 [' a1 q( ^+ }% d) }; V( n$objectQueueType queue_type
2 J' J& W) W; p* T* b这里的队列类型可选值为 direct , linkedlist , fixedarray (内存队列), 或者 disk 。

$ e4 H. a3 T, c/ \默认情况下，对于主队列，使用的是FixedArray队列（10000个消息长度），动作队列采用的是direct 队列。

PHP 使用 syslog 输出日志
在PHP 中，调用系统日志系统的函数有三个

bool openlog ( string $ident , int $option , int $facility )
2 T0 N$ @% ?# L4 _bool syslog ( int $priority , string $message )
bool closelog ( void )
函数openlog用于打开到系统日志系统的连接，第一个参数$ident是一个字符串，syslog 会将该字符串自动加到使用syslog函数输出的所有日志消息的前面。第二个参数是日志选项，第三个参数是记录日志的设施。

函数openlog()和closelog()是可选的。
例如，我们在/etc/rsyslog.conf配置文件中增加如下配置
* f1 `) n- W! \) E  t0 y& L
local5.*     /tmp/php_test.log
增加后需要重启 rsyslog 进程(sudo /etc/init.d/rsyslog restart)
( C" y, p* ~; M5 C; G. c- C$ z" A
: k/ Z6 X) c# C+ ~在 PHP 脚本中，执行如下操作

<?php
) g: q% d9 Z# E2 r9 xopenlog("LogHeader", LOG_PID, LOG_LOCAL5);
syslog(LOG_DEBUG, "Hello, Logger");
6 c) z) _/ C( F  y1 B0 b+ D& v执行上述脚本，我们可以在/tmp目录中看到出现名为php_test.log的文件
! o+ s0 l$ T8 S2 r- _
9 w) J, @. a- k; UMar 10 14:47:04 vm-hp LogHeader[8261]: Hello, Logger
; a, r) V7 Y& z( ]7 K) v% @  Y+ g第一部分Mar 10 14:47:04为日志时间，第二部分vm-hp为主机的 HOSTNAME , 我们在 调用openlog函数的时候，指定了 indent为LogHeader， 同时在日志中加入进程的 PID（LOG_PID）。

上述日志消息，如果要使用模板的话，是下面这样的
1 _* `% c; z* z& c' ~
$template LOG_TMP,"%timegenerated% %HOSTNAME% %msg%"
3 g2 ]+ k! F% ?) C; Mlocal5.*     /tmp/php_test.log;LOG_TMP
我们将所有支持的模板属性变量输出如下

msg:  Hello, Logger,
rawmsg: <175>Mar 10 15:52:49 LogHeader[13845]: Hello, Logger,
7 W! W7 i/ u  K) X! `: SHOSTNAME: vm-28-234-pro01-hp,
FROMHOST: vm-28-234-pro01-hp,
" ]# c; d  V" l4 U" k) F5 osyslogtag: LogHeader[13845]:,
3 g- \) r8 R; {  N! t8 C. T- S1 nprogramname: LogHeader,
4 N" S+ E* a3 E) _& m% [PRI: 175,
* ^) R2 Q! ^1 i5 ~' mPRI-text: local5.debug,
IUT: 1,
! P2 U. c6 J' V$ ~syslogfacility: 21,
syslogfacility-text: local5,
syslogseverity: 7,
syslogseverity-text: debug,
timereported: Mar 10 15:52:49,
TIMESTAMP: Mar 10 15:52:49,
( t/ v8 C$ u% R1 @: ttimegenerated: Mar 10 15:52:49,
% k) |4 B8 _2 E% }2 F, N" }. ^+ WPROTOCOL-VERSION: 0,
STRUCTURED-DATA: -,
APP-NAME: LogHeader,
PROCID: 13845,
MSGID: -

admin

并替换

FILEPATH: 需要上传的日志文件的绝对路径，必须包含日志文件名。
示例：/var/log/nginx/access.log
1 L+ L, N6 f3 g  B2 `& K; w8 xAPPNAME: 用于标识上传的唯一应用来源，可用来定义日志分组，这将帮助您有效划分日志，缩小搜索范围。APPNAME设置正确与否直接影响到后台对日志字段的提取。如果您是VIP用户，日志易为您定制了日志解析规则，请填写日志易提供的针对该日志的APPNAME，以使定制的日志解析规则生效。
示例： nginx_access
TAG: 标签，标识日志的扩展信息，可定义多个标识，这里替换为您自行定义的标签，可用来定义日志分组，这将帮助您有效划分日志，缩小搜索范围。
8 E! V1 X$ P. u2 l2 S- M6 m( o5 g0 u示例： rizhiyi_search
注意:
' t& t& ^' ?3 V" Y$ Z
7 A! p, S) X2 a- ]在 /etc/rsyslog.d/ 下的rsyslog配置文件中：
$InputFileTag定义的APPNAME必须唯一，同一台主机上不同的应用应当使用不同的APPNAME，否则会导致新定义的TOKEN和TAG不生效；
$template定义的模板名必须唯一，否则会导致新定义的TOKEN和TAG不生效；
$InputFileStateFile定义的StateFile必须唯一，它被rsyslog用于记录文件上传进度，否则会导致混乱；
; H6 R- w+ y% J7 L% Z2 W注意：@@log.rizhiyi.com:5140 该值为接收日志的服务器域名或者主机名。默认是log.rizhiyi.com:5140
3 重启rsyslog
$ sudo service rsyslog restart
1 B+ n: a# n* S8 u( }* v" `4 验证
例如，配置文件中的tag字段已修改为"rizhiyi_search"，可使用"tag:rizhiyi_search"搜索过去一小时的事件，检查日志易是否成功接收并正确识别日志，建立索引可能需要几十秒钟时间，需要等待几十秒钟。
  q% t0 J9 ^% p, @4 A
0 H" E: _4 w$ u9 Y* O' C; b#参考:
7 f6 t2 O; ~- m- {* F) L( u
http://www.voidcn.com/blog/anghlq/article/p-4958086.html

http://www.wnqzw.com/article/10798.html
: P9 J& i1 G; M) H+ I2 [
6 M: [, f, v' h+ m  o; e, a: R8 F附:

日志輸出模板
通過模板可以更具需要來控制日志輸出的樣式。格式如下：
9 u: d* C7 W4 M) q$ o; E1 W$template <TEMPLATE_NAME>,"text %<PROPERTY>% more text", [<options>]
$template 爲模板指令。<TEMPLATE_NAME> 爲模板名。"" 之間的文本爲模板格式。 被 % 包含的文本對應相關的屬性。<options> 指定修改 模板功能的一些選項,例如 sql 或者 stdsql 會格式化文本爲 SQL 查詢。
動態文件輸出
. U2 X  l+ U* z- z0 Z' m* ~! _通過日志和/或系統屬性決定輸出文件名。
$template DynamicFile,"/var/log/test_logs/%timegenerated%-test.log"
0 R: O- l6 V% O& p6 h: [*.* ?DynamicFile
使用 timegenerated 生成文件名，使用該模板則在前面加上 ?。
其他例子如下：
! v% M; L- y# r4 S" _- H$template DailyPerHostLogs,"/var/log/syslog/%$YEAR%/%$MONTH%/%$DAY%/%HOSTNAME%/messages.log"
0 u, e( {! z5 s根據屬性控制日志輸出格式
. s9 j% ?9 x5 o0 ?2 z. \使用下面的格式可以對模板之中的屬性做各種修改操作從而定制日志的格式:
  d$ D3 T6 }1 x9 l3 B%<propname>[:<fromChar>:<toChar>:<options>]%
<propname> 屬性名，可用的屬性名參考上文。
7 P5 ]3 L- z6 v* D* I4 u<fromChar> 和 <toChar> 表示對屬性值字符串的操作範圍。 設置 <fromChar> 爲 R，<toChar> 爲正則表達式即可以通過正則 表達式定義範圍。
<options> 則表示屬性選項。完整的列表可以參考 這裏的 Property Options 節。
一些示例如下：
%msg% # 日志的完整消息文本
% O! i0 y- D9 c- S  X2 m: O+ G; H%msg:1:2% # 日志消息文本的最開始兩個字符
$ O6 m& l0 b, V# p- {2 S! y%msg:::drop-last-lf% # 日志的完整消息文本，移出最後的換行符
%timegenerated:1:10:date-rfc3339% # 時間戳的頭10個字符並按 RFC3999 標准格式化
. A2 Y; y2 L7 W6 }下面是一些模板例子。
輸出日志的級別，類別，收到日志時的時間錯，主機名，消息標簽，消息正文， 加上換行符：
$template verbose,"%syslogseverity%,%syslogfacility%,%timegenerated%,%HOSTNAME%,%syslogtag%,%msg%\n"
& j# r9 ~# Y$ D2 {輸出日志來源，時間以及日志標簽，正文，同時還有蜂鳴聲（\7）：
  R/ B: S3 N6 A3 P$template wallmsg,"\r\n\7Message from syslogd@%HOSTNAME% at %timegenerated% ...\r\n %syslogtag% %msg%\n\r"
, |1 U3 t  n" }9 E格式化日志以便于直接進行 SQL 操作：
3 e5 b$ K9 m, q4 i5 `! K, H% A$template dbFormat,"insert into SystemEvents (Message, Facility,FromHost, Priority, DeviceReportedTime, ReceivedAt, InfoUnitID, SysLogTag) values ('%msg%', %syslogfacility%, '%HOSTNAME%',%syslogpriority%, '%timereported:::date-mysql%', '%timegenerated:::date-mysql%', %iut%, '%syslogtag%')",sql
以 json 格式輸出，方便程序解析：
$template jsonFormat,"{\"message\":\"%msg:::json%\",\"fromhost\":\"%HOSTNAME:::json%\",\"facility\":\"%syslogfacility-text%\",\"priority\":\"%syslogpriority-text%\",\"timereported\":\"%timereported:::date-rfc3339%\",\"timegenerated\":\"%timegenerated:::date-rfc3339%\"}\n"
3 c8 C: k5 y& g2 ^# F注意，message 的內容會在最前面多一個空格，其解釋請參考這裏。
. k  r$ O) H* a) ^- Zrsyslog 也提供了一些預定義的模板（以 RSYSLOG_ 爲前綴），參考 這裏 的 Reserved Template Names 節，其定義如下：
RSYSLOG_FileFormat
# p  L( b: b3 t) z9 `"%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n\"
RSYSLOG_TraditionalFileFormat
, N! }8 l# R+ o"%TIMESTAMP% %HOSTNAME% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n\"
2 I! G5 x# W: wRSYSLOG_ForwardFormat
"<%PRI%>%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag:1:32%%msg:::sp-if-no-1st-sp%%msg%\"
  O1 y3 Q4 n# R6 }3 @/ i  ORSYSLOG_TraditionalForwardFormat
"<%PRI%>%TIMESTAMP% %HOSTNAME% %syslogtag:1:32%%msg:::sp-if-no-1st-sp%%msg%\"
使用這些模板，則在動作後附加 “;template_name” 即可，例如：
6 I% l% t, L0 A5 ]( t1 Q:programname,startswith,"cron" -/var/log/cron;RSYSLOG_TraditionalFileFormat

admin

手工配置
如果您无法通过脚本生成配置文件，这份指导将帮助您通过简单的复制、粘贴手动完成配置。
  v; F$ Y4 ^1 b2 t% H5 a1 ]) b
( S8 d) j/ I: x$ y假定您已拥有root或sudo权限，是在通用的Linux平台使用5.8.0或更高版本的rsyslog，rsyslog能接收本地系统日志，并通过5140端口与外界连接。
) A& X7 X0 C( @! t
6 [5 g" p2 W4 G/ q6 S) G1 配置系统环境
粘贴以下脚本并运行，并且保证 /var/spool/rsyslog 目录已存在，如果是Ubuntu系统，还需要对目录进行权限设置。

sudo mkdir -v /var/spool/rsyslog
if [ "$(grep Ubuntu /etc/issue)" != "" ]; then
sudo chown -R syslog:adm /var/spool/rsyslog
fi
8 }1 H; `$ q+ d5 F2 更新rsyslog配置文件。
. r" u- L' B' P( B4 K% k! X& F3 a打开rsyslog配置文件，它通常在 /etc/ 目录下
. \/ {1 ^5 j/ K4 W8 J2 U
sudo vim /etc/rsyslog.d/rizhiyi.conf
# d5 B2 `" [+ h$ ]1 W将下列内容粘贴在这个配置文件中

8 G9 [6 P' m, c9 t复制代码
3 M5 Y+ p& f5 N- ^#real tran log
0 j8 ^9 A  u5 u$ `- c/ Z$ModLoad imfile 　　　　　　　　　　　　　　#装载imfile模块
# [) y8 f& C7 b* n. C7 E1 |2 r$InputFilePollInterval 3 　　　　　　　　 #检查日志文件间隔（秒）
! ], |- L8 a9 m' j! e$WorkDirectory /var/spool/rsyslog       #定义工作目录。例如队列文件存储存储文件夹。
& e4 m, ~. a4 z2 R# q) M3 ~
6 f) {# B1 {7 T& V- @/ D$ J$InputFileName FILEPATH 　　　　　　　　　 #读取日志文件
7 Q# m# k: }$ X$InputFileTag APPNAME 　　　　　　　　　　 #日志写入日志附加标签字符串 不要添加特殊符号
! y5 B3 U' P" D: W; l) v4 q$InputFileStateFile stat_APPNAME 　　　　#定义记录偏移量数据文件名 不要添加特殊符号
* _7 I7 v# `' }6 l  b$InputFileSeverity info 　　　　　　　　　#日志等级
$InputFilePersistStateInterval 20000    #回写偏移量数据到文件间隔时间（秒）
$RepeatedMsgReduction off 　　　　　　　　#关闭重复消息控制
$InputRunFileMonitor 　　　　　　　　　　　#This activates the current monitor. It has no parameters. If you forget this directive, no file monitoring will take place.
#https://www.rizhiyi.com/docs/fastuse/tag/  设置标签(rsyslog)
$template RizhiyiFormat_APPNAME,"<%pri%>%protocol-version% %timestamp:::date-rfc3339% %HOSTNAME% %app-name% %procid% %msgid% [06f69fae723038bbc5d75d29564051ea@32473     tag=\"TAG\"] %msg%\n"
                                  #<85>          0    2014-09-14T16:52:59.814155+08:00   macbook    my_app       -      -   [91595477-c8e4-42b8-b1f9-696465b422ff@32473 tag="file_upload" tag="my_tag"]
+ y, {* g* D/ v% |复制代码
if $programname == 'APPNAME' then @@log.rizhiyi.com:5140;RizhiyiFormat_APPNAME
2 ]7 p) W5 C7 ^  H* r* r) Dif $programname == 'APPNAME' then ~
! L: A9 h3 J% z
0 u9 I$ _; q# s6 B- M---------------------------------------------------------------对应的单台测试机的配置如下---------------------------------------------------------------------------------------
3 ]2 V# }' l" h; r: p

7 }. c# z# z6 K. u并替换

$ N0 c  u7 i( \0 uFILEPATH: 需要上传的日志文件的绝对路径，必须包含日志文件名。
示例：/var/log/nginx/access.log
5 b& {3 O" `' WAPPNAME: 用于标识上传的唯一应用来源，可用来定义日志分组，这将帮助您有效划分日志，缩小搜索范围。APPNAME设置正确与否直接影响到后台对日志字段的提取。如果您是VIP用户，日志易为您定制了日志解析规则，请填写日志易提供的针对该日志的APPNAME，以使定制的日志解析规则生效。
示例： nginx_access
0 a% r! z$ x8 B$ G3 U1 xTAG: 标签，标识日志的扩展信息，可定义多个标识，这里替换为您自行定义的标签，可用来定义日志分组，这将帮助您有效划分日志，缩小搜索范围。
示例： rizhiyi_search
注意:
6 y4 d. e) k4 u' l
; G8 h* F* [5 }: a+ G, Q在 /etc/rsyslog.d/ 下的rsyslog配置文件中：
9 d" i' n4 H( l2 y$InputFileTag定义的APPNAME必须唯一，同一台主机上不同的应用应当使用不同的APPNAME，否则会导致新定义的TOKEN和TAG不生效；
$template定义的模板名必须唯一，否则会导致新定义的TOKEN和TAG不生效；
$ |. v2 V. ~7 g: @2 u8 j& F) L$InputFileStateFile定义的StateFile必须唯一，它被rsyslog用于记录文件上传进度，否则会导致混乱；
注意：@@log.rizhiyi.com:5140 该值为接收日志的服务器域名或者主机名。默认是log.rizhiyi.com:5140
6 R' M$ X% ^3 y3 重启rsyslog
+ d5 C" I6 p- j( I; U6 Y$ w0 C$ sudo service rsyslog restart
% y9 ?+ x. r( a4 验证
例如，配置文件中的tag字段已修改为"rizhiyi_search"，可使用"tag:rizhiyi_search"搜索过去一小时的事件，检查日志易是否成功接收并正确识别日志，建立索引可能需要几十秒钟时间，需要等待几十秒钟。
# R0 n3 t. R; a( P1 q3 J/ E4 Q
! v9 y1 X* Y: u! f4 `5 V3 {#参考:
. W1 a# X" k' x- y- M, @
+ H- {& Q7 G$ |! K& J3 bhttp://www.voidcn.com/blog/anghlq/article/p-4958086.html
4 j0 c1 o/ k2 N* j' ], _4 Q% o) z
http://www.wnqzw.com/article/10798.html
$ z" N* v) m+ ?3 j  S& j
. A2 v% t! M6 s0 Y! y# l9 C附:
, Q3 {+ t* O+ o( D0 K  [# m' n3 w
日志輸出模板
& b' p3 F2 y2 b& w通過模板可以更具需要來控制日志輸出的樣式。格式如下：
$template <TEMPLATE_NAME>,"text %<PROPERTY>% more text", [<options>]
' \5 U, x' o5 J' k/ \$template 爲模板指令。<TEMPLATE_NAME> 爲模板名。"" 之間的文本爲模板格式。 被 % 包含的文本對應相關的屬性。<options> 指定修改 模板功能的一些選項,例如 sql 或者 stdsql 會格式化文本爲 SQL 查詢。
動態文件輸出
: N1 W! r1 G& o" W; \' T* W通過日志和/或系統屬性決定輸出文件名。
1 x/ _& k* U. m& T9 w2 U4 p$template DynamicFile,"/var/log/test_logs/%timegenerated%-test.log"
  `6 Y" s4 Q7 j*.* ?DynamicFile
/ _9 e; u* f0 O! Y使用 timegenerated 生成文件名，使用該模板則在前面加上 ?。
其他例子如下：
' m6 }% [& H% H& i: ^0 W' R$template DailyPerHostLogs,"/var/log/syslog/%$YEAR%/%$MONTH%/%$DAY%/%HOSTNAME%/messages.log"
1 a+ R- A" q) ~# \9 t根據屬性控制日志輸出格式
使用下面的格式可以對模板之中的屬性做各種修改操作從而定制日志的格式:
%<propname>[:<fromChar>:<toChar>:<options>]%
7 ^( u, Q3 U3 b8 g1 Y- X<propname> 屬性名，可用的屬性名參考上文。
# Z- o2 o$ a% l6 ~+ W# o& O<fromChar> 和 <toChar> 表示對屬性值字符串的操作範圍。 設置 <fromChar> 爲 R，<toChar> 爲正則表達式即可以通過正則 表達式定義範圍。
: |$ G/ h9 Z$ c5 s, ]<options> 則表示屬性選項。完整的列表可以參考 這裏的 Property Options 節。
一些示例如下：
%msg% # 日志的完整消息文本
  ]4 h) e+ y) g/ h%msg:1:2% # 日志消息文本的最開始兩個字符
%msg:::drop-last-lf% # 日志的完整消息文本，移出最後的換行符
%timegenerated:1:10:date-rfc3339% # 時間戳的頭10個字符並按 RFC3999 標准格式化
下面是一些模板例子。
5 R0 s9 u2 v8 ?, i) x! j1 w輸出日志的級別，類別，收到日志時的時間錯，主機名，消息標簽，消息正文， 加上換行符：
1 m0 O2 R/ M% ]6 s$template verbose,"%syslogseverity%,%syslogfacility%,%timegenerated%,%HOSTNAME%,%syslogtag%,%msg%\n"
輸出日志來源，時間以及日志標簽，正文，同時還有蜂鳴聲（\7）：
$template wallmsg,"\r\n\7Message from syslogd@%HOSTNAME% at %timegenerated% ...\r\n %syslogtag% %msg%\n\r"
( y# n9 L3 E7 t( I& F( n格式化日志以便于直接進行 SQL 操作：
$template dbFormat,"insert into SystemEvents (Message, Facility,FromHost, Priority, DeviceReportedTime, ReceivedAt, InfoUnitID, SysLogTag) values ('%msg%', %syslogfacility%, '%HOSTNAME%',%syslogpriority%, '%timereported:::date-mysql%', '%timegenerated:::date-mysql%', %iut%, '%syslogtag%')",sql
以 json 格式輸出，方便程序解析：
+ b0 v6 K$ z7 ]: x$ ~$template jsonFormat,"{\"message\":\"%msg:::json%\",\"fromhost\":\"%HOSTNAME:::json%\",\"facility\":\"%syslogfacility-text%\",\"priority\":\"%syslogpriority-text%\",\"timereported\":\"%timereported:::date-rfc3339%\",\"timegenerated\":\"%timegenerated:::date-rfc3339%\"}\n"
注意，message 的內容會在最前面多一個空格，其解釋請參考這裏。
7 P: n% a" n1 lrsyslog 也提供了一些預定義的模板（以 RSYSLOG_ 爲前綴），參考 這裏 的 Reserved Template Names 節，其定義如下：
) J' E$ O% l& }; d6 KRSYSLOG_FileFormat
"%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n\"
4 P: C% w3 u2 n5 _, g; I. d  qRSYSLOG_TraditionalFileFormat
"%TIMESTAMP% %HOSTNAME% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n\"
2 x% K$ ~  x4 l- k/ H6 Z; SRSYSLOG_ForwardFormat
: B3 _% {/ W8 D4 |1 B. m" Z"<%PRI%>%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag:1:32%%msg:::sp-if-no-1st-sp%%msg%\"
RSYSLOG_TraditionalForwardFormat
"<%PRI%>%TIMESTAMP% %HOSTNAME% %syslogtag:1:32%%msg:::sp-if-no-1st-sp%%msg%\"
* R/ ~% T# m& h使用這些模板，則在動作後附加 “;template_name” 即可，例如：
6 ]+ j, E* i% h6 {* J4 _. i; s:programname,startswith,"cron" -/var/log/cron;RSYSLOG_TraditionalFileFormat