配置:
rsyslogd 配置通过rsyslog.conf file,典型的在/etc下。默认的,
rsyslogd 读取/etc/rsyslog.conf 文件,这个可以通过命令行选项改变
注意 配置可以通过在线rsyslog 配置创建工具生成
配置文件例子可以在rsyslog wiki找到, 同时保留rsyslog 配置片段在你的脑子里。
基本结构:
本节描述 rsyslog 配置基本的工作,想象rsyslog 作为一个大的logging和事件处理工具。
它可以被认为是一个框架具有一些基本的处理,是固定的数据流方式,
但是是高度可定制的在消息流的细节上。在配置过程中,
这个定制是通过定义和自定义rsyslog 对象实现的。
消息流和对象的快速概述:
Message 进入rsyslog 在input 模块的帮助下, 然后,它们可以被传递给规则
在规则被有条件的应用下, 当一个规则匹配, 消息是被传输到action,
然后对消息做一些处理 比如,写到文件,数据库或者转发到远程主机
处理原则
1.输入提交接收到的消息到规则集
如果规则集没有明确的限制,默认规则集被使用
2. 默认的,这里有一个规则集(RSYSLOG_DefaultRuleset)
3.额外的规则及可以用户自定义
4.每个规则集包含0个或者多个规则
虽然允许0个规则在一个规则集,但是先让没有意义
5.一个过滤器的规则集合一个动作列表
6.过滤器提供yes/no 决定和 从而控制流能力
7.如果一个过滤器(filter say yes)，相应的action列表是被执行。
如果不匹配,没有什么发生
8.规则是按顺序被评估从第一个到最后一个规则在给定的规则集。
从无关的规则集 没有规则会被评估
9. 所有的规则总是被完全评估的,无论是否匹配一个过滤器或者不匹配(我们不会在第一次匹配停止)
如果消息处理应该停止,“discard” action （波浪符号或者停止命令代表）
必须明确被执行。如果 discard被执行,消息处理立即停止,不会评估任何其他规则
10.一个action 列表包含一个或者多个actions
11.在一个action 列表没有进一步过滤是可能的
12. 在一个列表有一个以上的action, &字符必须放在过滤器位置,这个必须立即按照以前的action
13.actions 有action请求本身组成(e.g. ”:omusrmsg:”) 以及所有定义的action配置语句
14. 如果旧的格式被使用,$Action 指令必须被指定在action之前
配置文件
在启动时, rsyslog 读取它的配置从rsyslog.conf 文件,
文件包含引用到其他配置文件
一个不同的"root"配置文件可以通过-f 选项加载,这个通常在一些init脚本或者类似的设备里
语句类型:
Rsyslog 同时支持3种不同类型的配置语句：
sysklogd - t 这是普通的旧的格式, 无处不在 仍旧相当有用对于简单的使用情况。
注意 一些很少的结构是不在被支持了,因为它们不兼容新的功能,这些在兼容性里会提到
legacy rsyslog - 那个语句以$符号开始,它们设置一些配置参数和修改例如 操作的方式。
这是唯一的格式支持在V6版本以前。 但是它仍旧完全被支持在V6和以上版本。
注意一些plugins 和功能可能只能通过legacy format (因为plugins 需要被显示的升级来使用新的style 格式,
不是所有的插件)
RainerScript 最新的样式,这是最好的和最精确的格式用于很多复杂的情况。
rsyslog.conf 文件有语句组成,对于老的样式(ysklogd & legacy rsyslog),
按行。
对于新的样式(RainerScript) 行空间是无关紧要的,
最重要的是, 这意味着新的style actions 和所有其他对象可以分散到多行 当用户需要时
推荐的语句类型:
通常 推荐使用 RainerScript 类型语句,因为它们提供了干净的容易的来读取 控制流程以及对于哪个参数是主动的会没有疑问。
它们也没有副作用对于include 文件,可以是一个主要的障碍对于 legacy rsyslog statements.
对于每个简单的事情 sysklogd 语句类型仍旧是推荐的,尤其是如果 全部配置包含一些简单的事情。
mail.info /var/log/mail.log
mail.err @server.example.net
这是很难被击败的在简单性上,仍旧被教在很多地方
作为一个规则翻阅,RainerScript 配置语句应该被使用当:
配置参数是需要的(例如 动作 legacy statements 类型)
它通常不推荐使用rsyslog legacy config format(那些指定以$符号开始)
然而, 一些少的设置和模块没有被转换到RainerScript。在这些情况下, legacy syntax必须被使用。
Comments
有2种类型的注释:
#-Comments 以#号开始,运行到行结束
处理顺序:
指令是被处理从 rsyslog.conf 的顶部到底部,顺序很重要。
比如, 如果你停止处理消息,显然所有的语句在停止语句后不会被评估
流程控制语句:
数据处理语句:
数据操作是通过设置完成,unset和reset 语句
Inputs
每个input 需要一个input 模块来被加载和一个侦听定义它。
详细的细节可以在rsyslog 模块文件里找到,一旦加载, inputs 通过input()对象
input(type="imfile"
File="/usr/local/apache-tomcat-7.0.55_8082/logs/catalina.out"
Tag="zjzc-api01"
Severity="info"
Facility="local5")
Outputs
输出也被称为"actions", 一个小的actions集 是预加载(像output file writer,
是用于几乎所有的在rsyslog.conf),其他必须被load 就像inputs