centos7 rsyslog

客户端配置格式

客户端需修改文件位于/etc/rsyslog.conf

只需要把尾部#*.* @@remote-host:514删除#，并把@@替换为@，remote-host替换为日志服务器主机IP即可；

注：日志默认使用udp协议，使用@@则使用tcp协议。

服务器配置格式

服务器端修改修改/etc/rsyslog.conf文件以及/etc/sysconfig/rsyslog文件。

1、/etc/rsyslog.conf中需有

#Provides UDPsyslog reception

$ModLoad imudp

$UDPServerRun514

以打开日志服务监听，输入netstat –lunp可见rsyslog监听于514端口(默认端口)

2、/etc/sysconfig/rsyslog文件中，需修改

SYSLOGD_OPTIONS="-m240 -r"

其中-r表示接受外部日志的写入。

注：1、可能由于防火墙导致日志发送失败，可于客户端及服务器端查看514端口是否能正常使用，

Centos7中使用如下命令：

    firewall-cmd –-query-port=514/udp

输出no，表示没有启用，则输入

    firewall-cmd –add-port=514/udp

添加514端口于防火墙，则可通信，输入netstat –lunp查看端口状态；

    2、每次配置修改都需要重启服务，centos7中使用如下命令：

    systemctlstop   rsyslog.service    关闭日志服务

systemctl start rsyslog.service     开启日志服务

也可直接systemctl restart rsyslog.service 重启日志服务；

    3、如果还是不能正常通信，则可能是由于SElinux的关系，

    输入getenforce查看状态，Enforcing-启用，Permissive-停用

     输入setenforce 0停用SElinux。

测试：

    使用logger命令发送日志进行测试，

    logger –p user.info “this is a logger”

发送日志到本机，本机会进行转发到日志服务器，在/var/log/messages中查看发送的日志。