前面详细介绍了sysklog套件的配置和使用。但毕竟该套件已经比较老了，很多功能都不够完善，而系统日志又是系统维护中至关重要的参考信息。我们可以使用syslog-ng（下一代系统日志工具）来替代原来的sysklog服务。syslog-ng可以通过对日志信息执行正规表达式过滤，并且支持主机链方式等工作，都能更好的协助我们管理主机。红旗DC Server 5.0上默认就安装有该套件，可以直接使用。
一、基础
syslog-ng作为syslog的替代工具，可以完全替代syslog的服务，并且通过定义规则，实现更好的过滤功能。
系统自带版本：
syslog-ng-1.6.7-1
syslog官方网站：点击
最新版本是2.0.5。
为方便使用，暂以系统自带的版本1.6.7说明，以后再提供更新的rpm包。
1、前提
使用syslog-ng前，建议先详细了解syslog的概念。
例如，什么是facitily（设备），level（等级）。可以参考这里：点击
否则，后面的说明可能会有点不知所云的。
2、使用
若不增加其他设定，可通过下面的简单命令即可替换原syslog服务：
# service syslog-ng start
3、设计原则
syslog-ng替代syslog是基于以下的设计原则的：
b、支持主机链，即使日志消息经过多重网络转发，仍可找到原发出主机的信息和整个消息链；
c、支持强大的自定义配置，并且清晰、明了。
二、配置说明
syslog-ng的主配置文件存放在：/etc/syslog-ng/syslog-ng.conf
1、架构
syslog-ng的配置基于下面的架构：
消息路径 『消息源 － 过滤器 － 目的站』
也就是说，通过定义多个消息源，把匹配上若干个过滤器的消息导向到指定的目的地，从而组成一个消息路径。
2、消息源SOURCES
定义格式为：
含义：
sourcedriver：消息源驱动器，可以支持若干参数，并使用分号“；”隔离多个消息源驱动器
消息源驱动器有：
unix-dgram (filename) ： 打开指定的SOCK_DGRAM模式的unix套接字，接收日志消息
unix-stream (filename) ： 打开指定的SOCK_STREAM模式的unix套接字，接收日志消息
udp ( (ip),(port) ) ： 在指定的UDP端口接收日志消息
tcp ( (ip),(port) ) ： 在指定的TCP端口接收日志消息
sun-streams (filename) ： 在solaris系统中，打开一个（多个）指定的STREAM设备，从其中读取日志消息
internal() ： syslog-ng内部产生的消息
pipe(filename),fifo(filename) ： 从指定的管道或者FIFO设备，读取日志信息
例如：
file ("/proc/kmsg" log_prefix("kernel: "));
unix-stream ("/dev/log");
internal();
# udp(ip(0.0.0.0) port(514)); #如果取消注释，则可以从udp的514端口获取消息
};
※linux使用/dev/log作为SOCK_STREAM unix的套接字，BSD使用/var/run/log；
参数需要使用括号括住。
3、过滤器FILTERS
定义格式为：
含义：
expression：表达式
表达式支持：
函数：可使用正规表达式描述内容
过滤函数有：
level(,)： 根据level（优先级）选择日志消息，使用逗号分割多个level，或使用“..”表示一个范围
program(regexp)： 日志消息的程序名是否匹配一个正则表达式
host(regexp)： 日志消息的主机名是否和一个正则表达式匹配
match(regexp)： 对日志消息的内容进行正则匹配
filter()： 调用另一条过滤规则并判断它的值
例如：
not facility(mail,authpriv,cron); };
※这里的level定义info，相当于syslog的.=info，并不包括更低的等级；
若需要包括更低的等级，请使用“..”表示一个等级范围；
另外，filter(DEFAULT)，用于捕获所有没有匹配上的日志消息。filter(*)是无效的。
4、目的地DESTINATIONS
定义格式为：
含义：
destdriver ：目的地驱动器
目的地驱动器有：
unix-dgram (filename) ：把日志消息写入指定的SOCK_DGRAM模式的unix套接字
unix-stream (filename) ：把日志消息写入指定的SOCK_STREAM模式的unix套接字
udp (ip),(port) ：把日志消息发送到指定的UDP端口
tcp (ip),(port) ：把日志消息发送到指定的TCP端口
usertty(username) ：把日志消息发送到已经登陆的指定用户终端窗口
pipe(filename),fifo(filename) ：把日志消息发送到指定的管道或者FIFO设备
program(parm) ：启动指定的程序，并把日志消息发送到该进程的标准输入
举例：
destination d_syslog { udp ("192.168.228.225" port(514)); };
※配合使用udp或tcp即可实现集中的日志服务器。注意，udp函数的写法上和消息源驱动器中的定义不同。
5、消息路径LOG STATEMENTS
定义格式为：
D1; destination D2; … };
把消息源、过滤器、消息目的组合起来就形成一条完整的指令。日志路径中的成员是顺序执行的。凡是来源于指定的消息源，匹配所有指定的过滤器，并送到指定的地址。
※同样的，每条日志消息都会经过所有的消息路径，并不是匹配后就不再往下执行的，请留意。
![[原]在红旗上使用syslog-ng日志服务器](http://www.linuxfly.org/template/meSimple/images/readmore.gif)
内文分页： [1] [2]
配置linux syslog日志服务器
屏蔽syslog里记录由crond执行pam session的信息
原创文章，作者：ItWorker，如若转载，请注明出处：https://blog.ytso.com/tech/linux/112509.html