怎么配置Debian syslog

在 Debian 系统中，syslog 的配置主要涉及 rsyslog（Debian 默认使用的 syslog 实现）。下面从安装、配置文件、常见配置示例、重启服务、常见问题几个方面说明。

一、确认并安装 rsyslog（Debian 默认自带）

1. 检查是否已安装

dpkg -l | grep rsyslog

2. 安装 rsyslog（如未安装）

sudo apt update
sudo apt install rsyslog

3. 启动并设置开机自启

sudo systemctl enable rsyslog
sudo systemctl start rsyslog

二、rsyslog 主配置文件位置

Debian 下 rsyslog 的主要配置路径：

三、rsyslog.conf 基本结构说明

# 模块加载
module(load="imuxsock")  # 本地系统日志
module(load="imjournal") # systemd 日志（可选）

# 全局配置
global(workDirectory="/var/spool/rsyslog")

# 规则引用
$IncludeConfig /etc/rsyslog.d/*.conf

四、日志规则语法（重点）

1. 基本格式

facility.priority    /var/log/xxx.log

2. facility（来源）

auth, authpriv, cron, daemon, kern, lpr, mail,
news, syslog, user, uucp, local0 ~ local7

3. priority（级别，从低到高）

debug < info < notice < warning < err < crit < alert < emerg

示例含义：

*.info    /var/log/messages

所有 facility 的 info 及以上级别日志

五、常见配置示例

示例 1：将所有日志写入自定义文件

# /etc/rsyslog.d/custom.conf
*.*    /var/log/all.log

示例 2：只记录错误日志

*.err    /var/log/error.log

示例 3：分离 cron 日志

cron.*    /var/log/cron.log

示例 4：禁止某类日志

mail.*    ~

六、远程 syslog 配置（日志服务器）

1. 服务端（接收日志）

编辑：

sudo nano /etc/rsyslog.conf

取消注释：

module(load="imudp")
input(type="imudp" port="514")

module(load="imtcp")
input(type="imtcp" port="514")

重启：

sudo systemctl restart rsyslog

2. 客户端（发送日志）

# /etc/rsyslog.d/remote.conf
*.* @@192.168.1.10:514

• 一个 @：UDP
• 两个 @@：TCP

七、查看与验证日志

查看日志

tail -f /var/log/syslog

重启 rsyslog

sudo systemctl restart rsyslog

查看状态

sudo systemctl status rsyslog

八、常见问题

1. Debian 10+ 看不到 /var/log/messages

Debian 默认只使用：

/var/log/syslog

可以手动添加：

*.info    /var/log/messages

2. 日志不更新

检查：

sudo systemctl status rsyslog
ls -l /var/log/

确认磁盘空间：

df -h

3. 与 systemd 日志冲突

rsyslog 和 journald 可共存，但推荐：

sudo journalctl -xe

九、安全建议（生产环境）

• 远程日志开启 TLS
• 限制 /var/log 目录权限
• 定期轮转日志（logrotate）

如果你愿意，我可以帮你：

• ✅ 写一个 完整可用的 rsyslog 配置
• ✅ 配置 syslog 日志服务器
• ✅ 排查 日志不写入或丢失问题
• ✅ 用 Docker / 云服务器 场景配置

告诉我你的 Debian 版本和使用场景即可。