配置rhel 6 syslog

配置rhel 6.4(64位)安装使用

syslog-ng 3.5

Linux保存了系统中所发生事件的详细记录，这些记录称作日志文件或消息文件。可以查阅日志文件来确定系统当前状态，观察入侵者踪迹，寻找某特定程序(或事件)相关的数据。syslogd与klogd(监控linux内核提交的消息)守护进程负责记录，发送系统或工具产生的信息，二者的配置文件都是/etc/syslog.conf。当系统内核或工具产生信息时，通过调用相关函数将信息发送到syslogd或klogd守护进程。syslogd与klogd守护进程会根据

/etc/syslog.conf中的配置信息，对消息的去向作出处理。syslog协议的详细描述在RFC3164中。

logrotate工具用来定期重命名、压缩、邮递系统日志文件，它可以保证日志文件不会占用太大的磁盘空间。

1、配置文件/etc/syslog.conf：syslog.conf是syslogd进程的配置文件，将在程序启动时读取，默认位置是/etc/syslog.conf。这个配置文件中的空白行和以"#"开头的行将被忽略。"facility.level"部分也被称为选择符(seletor)。seletor和action之间使用一个或多个空白分隔。它指定了一系列日志记录规则。规则的格式如下:

facility.level action

选择符(seletor)由facility和level两部分组成，之间用一个句点(.)连接。

（1）facility：指定了产生日志的设备，可以是下面的关键字之一:

关键字值解释

kern 0 内核信息，首先通过klogd传递

user 1 由用户程序生成的信息

mail 2 与电子邮件有关的信息

daemon 3 与inetd守护进程有关的信息

auth 4 由pam_pwdb报告的认证活动

syslog 5 由syslog生成的信息

lpr 6 与打印服务有关的信息

news 7 来自新闻服务器的信息

uucp 8 由uucp生成的信息(uucp = unix to unix copy)

cron 9 与cron和at有关的信息

authpriv 10 包括私有信息(如用户名)在内的认证活动

ftp 11 与FTP有关的信息

12-15 系统保留

local0 ~ local7 16-23 由自定义程序使用，例如使用local5做为ssh功能

mark syslog内部功能，用于生成时间戳

* 通配符代表除了mark以外的所有功能

在大多数情况下，任何程序都可以通过任何facility发送日志消息，但是一般都遵守约定俗成的规则。比如，只有内核才能使用"kern"facility。注意syslog保留从“local0”到“local7”这几个设备号来接受从远程服务器和网络设备上发送过来的日志信息。路由器，交换机，防火墙和负载均衡器都很容易给它们各自配置一个独立的日志文件。

（2）level：指定了消息的优先级，可以是下面的关键字之一(降序排列，严重性越来越低)：

关键字值解释

emerg 0 系统不可用

alert 1 需要立即被修改的条件

crit 2 (临界)阻止某些工具或子系统功能实现的错误条件

err 3 阻止工具或某些子系统部分功能实现的错误条件

warning 4 预警信息

notice 5 具有重要性的普通条件

info 6 提供信息的消息

debug 7 不包含函数条件或问题的其他信息

none (屏蔽所有来自指定设备的消息)没有优先级，通常用于排错

* 除了none之外的所有级别

facility部分可以是用逗号(,)分隔的多个设备，而多个seletor之间也可以通过分号(;)组合在一起。注意多个组合在一起的选择符，后面的会覆盖前面的，这样就允许从模式中排除一些优先级。默认将对指定级别以及更严重级别的消息进行操作，但是可以通过2个操作符进行修改。等于操作符(=)表示仅对这个级别的消息进行操作，不等操作符(!)表示忽略这个级别以及更严重级别的消息。这两个操作符可以同时使用，不过"!"必须出现在"="的前面。（3）动作action：动作确定了syslogd与klogd守护进程将日志消息发送到什么地方去。有以下几种选择：

普通文件：使用文件的绝对路径来指明日志文件所在的位置，例如：/var/log/cron。

终端设备：终端可以是/dev/tty0~/dev/tty6，也可以为/dev/console。

用户列表：例如动作为“root hackbutter”，将消息写入到用户root与hackbutter的计算机屏幕上。

远程主机：将信息发往网络中的其他主机的syslogd守护进程，格式为“@hostname”。

（4）配置文件的语法说明：

*用作设备或优先级时，可以匹配所有的设备或优先级。

*用作动作时，将消息发送给所有的登录用户。

多个选择器可在同一行中，并使用分号分隔开，且后面的会覆盖前面的。如

uucp,news.crit。

关键字none用作优先级时，会屏蔽所有来自指定设备的消息。

通过使用相同的选择器和不同的动作，同一消息可以记录到多个位置。

syslog.conf文件中后面的配置行不会覆盖前面的配置行，每一行指定的动作都独立的运作。

（5）我的Ubuntu中默认的/etc/syslog.conf内容：

[python]view plaincopyprint?

1.# /etc/syslog.conf syslogd的配置文件

2.# 更多信息参考syslog.conf(5)

3.#

4.# 首先是一些标准的日志文件，消息由相应设备发送

5.#

6.# 认证活动auth,authpriv的日志消息发送到auth.log中

7.auth,authpriv.* /var/log/auth.log

8.# 除auth和authpriv之外的所有设备的所有消息都要发送到syslog中

9.*.*;auth,authpriv.none -/var/log/syslog

10.# cron及at的消息发送到cron.log

11.#cron.* /var/log/cron.log

12.# inetd的所有消息发送到daemon.log

13.daemon.* -/var/log/daemon.log

14.# 内核的所有消息（如klogd的消息）发送到kernlog

15.kern.* -/var/log/kern.log

16.# 打印服务的所有消息发送到lpr.log

17.lpr.* -/var/log/lpr.log

18.# 邮件的所有消息发送到mail.log

19.mail.* -/var/log/mail.log

20.# 用户程序的所有消息发送到user.log

https://www.360docs.net/doc/671374197.html,er.* -/var/log/user.log

22.#

23.# 邮件系统的日志记录。分割成不同的文件，以便能够比较容易地写脚本来

24.# 解析这些文件

25.#

26.# 邮件的info或更高级别的消息发送到https://www.360docs.net/doc/671374197.html,，warn更高级别的消息发送到

mail.warn，

27.# err或更高级别的消息发送到mail.err

https://www.360docs.net/doc/671374197.html, -/var/log/https://www.360docs.net/doc/671374197.html,

29.mail.warn -/var/log/mail.warn

30.mail.err /var/log/mail.err

31.# INN新闻系统的日志记录：来自新闻服务器的消息

32.#

33.news.crit /var/log/news/news.crit

34.news.err /var/log/news/news.err

35.news.notice -/var/log/news/news.notice

36.#

37.# 一些捕捉用的日志文件

38.#

39.# 除auth,authpriv,news,mail之外的所有设备的debug级别消息都要发送到debug

中

40.*.=debug;/

41. auth,authpriv.none;/

42. news.none;mail.none -/var/log/debug

43.# 除auth,authpriv,cron,daemon,mail,news之外的所有设备的info,notice,

44.# warn级别消息都要发送到messages中

45.*.=info;*.=notice;*.=warn;/

46. auth,authpriv.none;/

47. cron,daemon.none;/

48. mail,news.none -/var/log/messages

49.#

50.# 所有设备的emerg级别消息（系统无法使用）会发送给所有登录的用户

51.#

52.*.emerg *

53.#

54.# 希望一些消息显示在控制台，但只在虚拟控制台上：daemon,mail的任何消息；news的危

险、

55.# 错误、通知消息；任何设备的调试、信息、通知、预警消息

56.#

57.#daemon,mail.*;/

58.# news.=crit;news.=err;news.=notice;/

59.# *.=debug;*.=info;/

60.# *.=notice;*.=warn /dev/tty8

61.# 命名管道/dev/xconsole用于xconsloe工具。为了使用它，你必须带-file选项来调用

xconsole

62.# $ xconsole -file /dev/xconsole [...]

63.# 注意：调整下面的列表，否则如果你有一个相当繁忙的站点，你将变得发狂

64.daemon.*;mail.*;/

65. news.err;/

66. *.=debug;*.=info;/

67. *.=notice;*.=warn |/dev/xconsole

端以向服务器发送信息。假设客户端主机名为smallfry，可通过编辑/etc/hosts文件来实现。

（1）确定远程服务器的IP地址和有效的域名。

（2）在客户端班机的/etc/hosts文件中加入远程服务器的描述：IP地址完整域名服务器名“别名”，例如192.168.1.100 https://www.360docs.net/doc/671374197.html, bigboy loghost，这样为服务器主机bigboy设置了一个别名loghost。

（3）编辑客户端的/etc/syslog.conf文件，使得syslog信息能发送到你新设置的日志服务器loghost上。

*.debug @loghost

*.debug /var/log/messages

重启syslog服务，现在你的机器将会将所有“调试”级别及以上级别的信息同时发送到服务器bigboy和本地文件/var/log/messeges上。你可以做个简单测试看看syslog服务器是否在接受你的信息了。比如重启一下lpd打印机守护进程，看看能否在服务器上看到相关日志消息。

3、配置文件/etc/logrotate.conf：它是logrotate的一般性配置文件。你可以通过它设置哪个日志文件被循环重用以及多久重用一次。可以设定的循环参数有每周(weekly)或每天(daily)。rotate参数定义保留多少份日志文件备份，create参数指定在每轮循环后就新建空的日志文件。我的Ubuntu中默认的/etc/logrotate.conf内容为：

[python]view plaincopyprint?

1.# 更多细节参考"man logrotate"

2.# 每周循环更新日志文件

3.weekly

4.# 保留4份日志文件的备份，若日志文件为logfile，则其备份

5.# 分别为logfile.0~logfile3

6.rotate 4

7.# 在每轮循环后创建新的空白日志文件

8.create

9.# 如果你想压缩日志文件，则取消下面注释

10.#compress

11.# 一些使用syslog的软件包会把日志轮转信息放在这个目录下，因此要包含进来

12.include /etc/logrotate.d

13.# 没有软件包拥有wtmp或btmp，我们将在这里轮转

14./var/log/wtmp {

15. missingok # 如果日志文件丢失，使用下一个并且不发送任何错误消息

16. monthly # 轮转周期为每月

17. create 0664 root utmp # 创建新日志文件时，权限为0664，属主为root，组为

utmp

18. rotate 1

19.}

20./var/log/btmp {

21. missingok

22. monthly

23. create 0664 root utmp

24. rotate 1

25.}

26.# 特定于系统的日志可以在这里配置

现在使用越来越广泛的syslog-ng程序结合了logrotate和syslog的特性，它能给用户提供更多的自定义功能，从功能上也更加丰富了。如果你想使用它，可到https://www.360docs.net/doc/671374197.html,上去下载安装，其配置文件为/etc/syslog-ng/syslog-ng.conf。

对应的CentOS 6.x也就可能使用！

下载地址：

第一步：安装

wget

https://www.360docs.net/doc/671374197.html,/downloads/files/syslog-ng/open-source-edition/ 3.5.4.1/source/syslog-ng_3.5.4.1.tar.gz

wget

https://www.360docs.net/doc/671374197.html,/downloads/files/syslog-ng/open-source-edition/ 3.5.4.1/source/eventlog_0.2.12%2B20120504%2B1700.tar.gz

tar xvf eventlog_0.2.12+20120504+1700.tar.gz

cd eventlog-0.2.12+20120504+1700

./configure --prefix=/usr/local/services/eventlog

make

make install

cd ..

tar -xvf syslog-ng_3.5.4.1.tar.gz

cd syslog-ng-3.5.4.1/

export PKG_CONFIG_PATH=/usr/local/services/eventlog/lib/pkgconfig

./configure --prefix=/usr/local/services/syslog-ng

#如果提示no package 'glib-2.0' found centos

#那么就用yum install libgnomeui-devel

make

make install

第二步：添加服务

配置

将syslog-ng添加为系统服务,

vim /etc/init.d/syslog-ng #内容如下

##################################################################### ###########

#!/bin/bash

#

# chkconfig: - 60 27

# description: syslog-ng SysV script.

. /etc/rc.d/init.d/functions

syslog_ng=/usr/local/services/syslog-ng/sbin/syslog-ng

prog=syslog-ng

pidfile=/usr/local/services/syslog-ng/var/syslog-ng.pid

lockfile=/usr/local/services/syslog-ng/var/syslog-ng.lock

RETVAL=0

STOP_TIMEOUT=${STOP_TIMEOUT-10}

start() {

echo -n $"Starting $prog: "

daemon --pidfile=$pidfile $syslog_ng $OPTIONS

RETVAL=$?

echo

[ $RETVAL = 0 ] && touch ${lockfile}

return $RETVAL

}

stop() {

echo -n $"Stopping $prog: "

killproc -p $pidfile -d $STOP_TIMEOUT $syslog_ng

RETVAL=$?

echo

[ $RETVAL = 0 ] && rm -f $lockfile $pidfile

}

case "$1" in

start)

start

;;

stop)

stop

;;

status)

status -p $pidfile $syslog_ng

RETVAL=$?

;;

restart)

stop

start

;;

*)

echo $"Usage: $prog {start|stop|restart|status}"

RETVAL=2

esac

exit $RETVAL

##################################################################### #############

#启动服务

chmod a+x /etc/init.d/syslog-ng

killall syslogd

chkconfig --add syslog-ng

chkconfig syslog-ng on

service syslog-ng start

第三步：实际配置

命令 vi /usr/local/services/syslog-ng/etc/syslog-ng.conf

##################################################################### ###############################

##################################################################### ########

# Default syslog-ng.conf file which collects all local logs into a

# single file called /var/log/messages.

#

@version: 3.5

@include "scl.conf"

options {

create_dirs(yes);

dir_perm(0755);

use_dns(no);

perm(0644);

chain_hostnames(off);

stats_freq(30);

};

source s_local {

system();

internal();

};

source s_network {

udp(ip("0.0.0.0") port(514));

};

destination d_local {

file("/var/log/messages");

};

log {

source(s_local);

# uncomment this line to open port 514 to receive messages

#source(s_network);

destination(d_local);

};

filter f_cgioss { program("CGI") and level(crit); };

destination d_cgioss

{ file("/usr/local/services/lzlog/cgioss/$YEAR$MONTH/$YEAR$MONTH$DAY-$HOUR.oss" template(t_onlymsg)); };

log { source(s_network); filter(f_cgioss); destination(d_cgioss); flags(final);};

##### CGI ERR #####

filter f_cgierr { program("CGI") and level(err); };

destination d_cgierr

{ file("/usr/local/services/lzlog/cgierr/$YEAR$MONTH/$YEAR$MONTH$DAY-$HOUR.err" template(t_onlymsgip)); };

log { source(s_network); filter(f_cgierr); destination(d_cgierr); }; ##### CGI LOG #####

filter f_cgilog { program("CGI") ; };

destination d_cgilog

{ file("/usr/local/services/lzlog/cgilog/$YEAR$MONTH/$YEAR$MONTH$DAY-$HOUR.log" template(t_onlymsgip)); };

destination d_minutecgilog

{ file("/usr/local/services/lzlog/cgilog/$YEAR$MONTH/$YEAR$MONTH$DAY-$HOUR-$MIN.log" template(t_onlymsgip)); };

#log { source(s_network); filter(f_cgilog);

destination(d_minutecgilog); };

log { source(s_network); filter(f_cgilog); destination(d_cgilog); flags(final);};

#### SVR BILL #####

#现在量少，不用分10个文件

filter f_svrbill { program("SVR") and level(info); };

destination d_svrbill

{ file("/usr/local/services/lzlog/svrbill/$YEAR$MONTH/$YEAR$MONTH$DAY -$HOUR.oss" template(t_onlymsg)); };

log { source(s_local); filter(f_svrbill); destination(d_svrbill); flags(final);};

filter f_paybill { program("PAY"); };

destination d_paybill

{ file("/usr/local/services/lzlog/paybill/$YEAR$MONTH/$YEAR$MONTH$DAY -$HOUR.oss" template(t_onlymsg)); };

log { source(s_local); filter(f_paybill); destination(d_paybill); flags(final);};

##################################################################### ######################################