Debian Syslog在Web服务器上的应用

在Debian Web服务器上，rsyslog可作为统一日志中枢，集中采集 Nginx/Apache、PHP、应用与系统日志，并支持按程序、级别、主机进行精细化分流、远程传输与长期留存。

一、架构与适用场景

二、部署与基础配置

安装与启用
- Debian 默认使用 rsyslog。如需安装或确认状态：sudo apt-get update && sudo apt-get install rsyslog && sudo systemctl enable --now rsyslog
接收远程日志（在日志服务器或具备公网/内网可达的节点）
- 编辑 /etc/rsyslog.conf 或 /etc/rsyslog.d/50-default.conf，启用模块与端口：
  - module(load=“imudp”) input(type=“imudp” port=“514”)
  - module(load=“imtcp”) input(type=“imtcp” port=“514”)
- 重启服务：sudo systemctl restart rsyslog
发送日志到远程（在业务 Web 服务器）
- 编辑 /etc/rsyslog.conf 或 /etc/rsyslog.d/forward.conf，按需选择协议：
  - UDP：. @remote_log_host:514
  - TCP：. @@remote_log_host:514
- 重启服务：sudo systemctl restart rsyslog
防火墙放行
- UFW：sudo ufw allow 514/udp；sudo ufw allow 514/tcp
目录与权限
- 自定义日志文件建议位于 /var/log/，并确保 root:adm 拥有合适权限（如 0640），便于 rsyslog 写入与系统工具读取。

三、按组件接入与分流示例

Nginx/Apache 访问与错误日志
- 建议继续写入本地文件（便于按虚拟主机分割与性能分析），同时可将错误日志通过 syslog 上报：
  - Nginx 示例：error_log syslog:server=remote_log_host:514,facility=local7,tag=nginx,severity=error warn;
  - Apache 示例：ErrorLog syslog:remote_log_host:514, Facility=local7, Tag=apache
- 如需在 rsyslog 端按程序名分流：if $programname == ‘nginx’ then /var/log/nginx/error_syslog.log；if $programname == ‘apache2’ then /var/log/apache2/error_syslog.log
PHP 错误日志
- 方式一（推荐）：配置 PHP 使用 syslog
  - php.ini：error_log = syslog
  - 重启 Apache 或 PHP-FPM：sudo systemctl restart apache2 或 sudo systemctl restart php7.x-fpm
- 方式二：应用内使用 openlog/syslog 写入指定 facility（如 LOG_LOCAL6），便于与 Web 服务器日志隔离。
自定义应用日志
- 应用直接按 Syslog RFC5424 发送到 rsyslog（UDP/TCP/TLS），或在代码中使用各语言 Syslog 客户端库（如 Golang 的 go-syslog/srslog）。

四、日志轮转与保留策略

系统日志轮转
- 编辑 /etc/logrotate.d/rsyslog（示例）：
  - /var/log/syslog { weekly; missingok; rotate 52; compress; delaycompress; notifempty; create 0640 root adm }
自定义程序日志
- 为分流后的日志单独配置轮转（如 /var/log/nginx/error_syslog.log），保持与主日志一致的保留周期与压缩策略，避免磁盘被占满。

五、查询、告警与可视化

本地快速检索
- 实时查看：tail -f /var/log/syslog
- 按服务过滤：journalctl -u nginx；journalctl -u apache2；journalctl -f
- 按级别过滤：journalctl -p info（显示 info 及以上级别）
集中化分析与告警
- 将 rsyslog 输出到 ELK Stack（Elasticsearch, Logstash, Kibana） 或 Graylog/Fluentd，构建索引、仪表盘与阈值告警，实现跨实例与跨环境的可观测性。

最新问答