服务器Syslog如何配置

下面以常见 Linux 服务器（RHEL / CentOS / Ubuntu）为例，系统说明 Syslog 的配置方法，包括本地日志和远程日志服务器两种场景。

一、Syslog 服务说明

目前主流 Linux 使用以下两种实现之一：

• rsyslog（最常用，推荐）
• syslog-ng（高级场景）

以下以 rsyslog 为主。

二、检查与安装 rsyslog

1. 查看是否已安装

rpm -qa | grep rsyslog        # CentOS/RHEL
dpkg -l | grep rsyslog        # Ubuntu

2. 安装（如未安装）

# CentOS / RHEL
yum install rsyslog -y

# Ubuntu
apt install rsyslog -y

3. 启动并设置开机自启

systemctl enable --now rsyslog

三、本地 Syslog 配置（基础）

1. 主配置文件

/etc/rsyslog.conf

2. 示例：按服务分类记录日志

# 所有错误信息
*.err    /var/log/error.log

# 认证相关
auth.*   /var/log/auth.log

# 内核日志
kern.*   /var/log/kern.log

3. 重启生效

systemctl restart rsyslog

四、配置远程 Syslog 服务器（集中日志）

场景：A 服务器发日志 → B 服务器收集

✅ 日志接收端（Syslog Server）

1. 编辑配置

vim /etc/rsyslog.conf

2. 启用 UDP / TCP 接收

# UDP
module(load="imudp")
input(type="imudp" port="514")

# TCP（推荐）
module(load="imtcp")
input(type="imtcp" port="514")

3. 按主机保存日志

template(name="RemoteLogs" type="string"
  string="/var/log/remote/%HOSTNAME%.log")

*.* ?RemoteLogs

4. 重启服务

systemctl restart rsyslog

5. 防火墙放行

firewall-cmd --add-port=514/tcp --permanent
firewall-cmd --reload

✅ 日志发送端（Client）

1. 编辑配置

vim /etc/rsyslog.conf

2. 发送所有日志到远程

*.* @@192.168.1.100:514

@ = UDP
@@ = TCP

3. 重启服务

systemctl restart rsyslog

五、常见排错

1. 查看服务状态

systemctl status rsyslog

2. 查看端口监听

ss -lunp | grep 514
ss -ltnp | grep 514

3. 测试日志

logger "test syslog message"

六、生产建议

• ✅ 使用 TCP + TLS（防止日志丢失/篡改）
• ✅ 日志轮转（logrotate）
• ✅ 限制远程 IP（防火墙 / rsyslog rule）
• ✅ 重要服务器建议接 ELK / Splunk / Graylog

如果你能提供：

• 操作系统版本
• 是否要做 远程日志
• 是否要求 加密 / 审计合规

我可以直接给你一套可复制的配置文件。