Basic Structure 基本结构:
这个章节介绍了如何配置rsyslog 基本工作, 认为rsyslog 作为一个大的日志记录和事件处理工具集。
它可以认为是一个框架使用一些基本的处理,固定的以数据流的方式,
但是是高度自定义的在消息流的细节。在配置过程中,
但是高度自定义在消息流的细节，在配置过程中,这个自定义是通过定义和定制rsyslog 对象实现。
消息流和对象概述:
消息输入到rsyslog 使用input 模块。然后,它们是被传递到ruleset，
规则是有条件的应用。
当一个规则匹配, 消息是被传递到一个action，然后对消息做一些操作。
例如 写到一个文件,数据库或者转达到一个远程主机。
处理原则:
input 提交收到的消息到规则集:
1.如果规则集没有明确指定,默认的规则被使用:
默认情况下,有一个规则(RSYSLOG_DefaultRuleset)
2.额外的规则可以用户定义:
3.每个规则集包含0个或者多个规则
当它允许有0个规则在一个规则集, 这显然没有意义
一个规则有一个过滤器和一个action清单
4.过滤器提供yes/no 决定来控制流的能力
5.一个过滤器"matches"(filter says "yes"),响应的action 列表被执行。
如果它不匹配,没有什么特别发生。
6.规则集是从第一个到最后一个按顺序评估 在给定的规则集。
7.所有的规则总是被完全评估,不管如果一个过滤器是否匹配(因为我们不在第一次匹配后结束).
如果消息处理应停止, “discard” action（）
"discard" action （有~曲线字符或者stop命令为代表)必须明确的被执行。
如果discard 是被执行,消息处理立即停止,没有任何进一步的评估。
8.一个action 包含一个或者多个actions:
9.在一个action列表没有过滤器是可用的
10.有多于一个action在一个列表,字符必须放在过滤器的位置,这个必须按照之前的action.
11.actions 有action调用本身组成(e.g. ”:omusrmsg:”)
12.如果legacy 格式是被使用 $Action 指令必须指定在action前面
13.一些配置指令自动指向它们先前的值在被应用后
14.legacy 配置语句(以$开始)不影响 RainerScript 对象
配置文件:
在启动时,rsyslog 读取它的配置文件从rsyslog.conf 文件默认的。
这个文件可能包含引用来包含其他配置文件。
Statement Types 语句类型:
Rsyslog 支持3种不同类型的配置语法:
1.sysklogd - 这是plain 老的格式,无处不在,仍旧相当有用的对于简单的使用例子。
注意 有些很少的组成是不在被支持了,因为它们是和新的功能不兼容的。
2.legacy rsyslog 那些语句是以$符号开始。
它们设置一些配置参数和修改例子。
这是唯一的格式被支持在rsyslog v6之前。
它是仍旧支持在v6和以上版本。
注意 一些插件和功能仍旧只能通过legacy 格式。
RainerScript - 新的格式。这是最好的和最精确的格式用于很多复杂的例子。
rsyslog.conf 文件有语句组成,对于老的样式((sysklogd & legacy rsyslog),
对于新的样式(RainerScript）行间距是无关紧要的。
最重要的是,这意味着新的style actions和所有其他对象可以分成多行
推荐使用的语句类型:
通常建议使用RainerScript type statements,因为那些提供干净的容易堵的流控制
它们没有副作用
对于非常简单的事情 sysklogd 语句类型是仍旧被推荐的,尤其是如果完整的配置有这些简单的事情组成。
mail.info /var/log/mail.log
mail.err @server.example.net
这是很难被避免在一些简单的,仍旧在课程中被教授,很多人支持这个语法。
1.配置参数是需要的(例如e.g. the Action... type of legacy statements)
它是通常不推荐使用rsyslog legacy 配置格式(这些以$符号开始的)
订单处理:
指令是从上到下处理的,订单事件。
比如,如果你停止处理消息,
Inputs
每个输入需要一个input 模块被加载和定义一个侦听器。
Outputs 输出:
Outputs 也被称为"actions".一个小的actions是被预加载(如输出文件写,
是用于几乎每个rsyslog.conf),其他必须是被加载的像inputs:
一个action 是被调用通过action(type=”type” ...) object.
Type 是强制性的必须包含被调用插件的名字(e.g. “omfile” or “ommongodb”).
Rulesets and Rules 规则集合规则:
规则集合规则从rsyslog 处理的基础,总之,一个规则 是一个rsyslog 如何处理特定的消息。
通常,有一个filter的type(if-语句) 在rule前面。
规则集是规则的容器,一个单独的ruleset 可以包含很多规则。
在编程语言类似, 可以认为一个规则集就像一个程序。
一个ruleset 可以是分配到一个特定的input.类比,
这个意味当一个消息通过input 进入,程序(ruleset)会被执行
For quick reference, rulesets are defined as follows:
ruleset(name="rulesetname") {
action(type="omfile" file="/path/to/file")
action(type="..." ...)
/* and so on... */
}