Empêcher rsyslog de consigner les messages des hôtes distants dans local / var / log / syslog

8

J'utilise rsyslog pour enregistrer les journaux des hôtes distants sur un serveur de cette façon:

Serveur:

# Logfile for each host
$template DynaFile,"/var/log/rsyslog/%HOSTNAME%.log"
*.* -?DynaFile

Clients:

*.* @servername

Cela crée des fichiers journaux pour chaque hôte client des serveurs, /var/log/rsyslog/mais il enregistre également chaque message sur les serveurs /var/log/syslog. Donc ça devient vraiment ballonné. Comment puis-je l'empêcher afin qu'il /var/log/syslogne contienne que des messages du serveur lui-même?

rsyslog

— Michael
source

1

Vous voudrez examiner les filtres basés sur les propriétés, car HOSTNAME est l'un des champs syslog. Vous voudrez essentiellement le modifier afin qu'il ne sélectionne que ses propres journaux pour/var/log/syslog

— Bratchley

2

Voici ce qui fonctionne pour moi:

## For accepting syslog info from remote hosts
$template TempAuth, "/var/log/infosys/%HOSTNAME%/%PROGRAMNAME%.log"
$template TempMsg,  "/var/log/infosys/%HOSTNAME%/%PROGRAMNAME%.log"

if ($fromhost-ip != "127.0.0.1" ) then ?TempAuth
& ~
if ($fromhost-ip != "127.0.0.1" ) then  ?TempMsg
& ~

— Client
source

Pourquoi y a-t-il une duplication entre TempAuth et TempMsg?

— vdboor

0

J'y travaille beaucoup et je pense avoir trouvé une solution. J'encourage les autres à essayer cela et à rechercher des conséquences potentiellement néfastes. Je suggère que cela soit mis en œuvre sur les laboratoires / tests et les machines non critiques en premier.

$template PerHostLog,"/var/log/net-hosts/%fromhost-ip%/%fromhost-ip%.log"
$template RemoteHostFileFormat,"%TIMESTAMP% %fromhost-ip% %syslogfacility-text% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::space-cc,drop-last-lf%\n”
:inputname, isequal, "imudp" ?PerHostLog;RemoteHostFileFormat
:fromhost-ip , !isequal , "127.0.0.1" stop

Les 4 lignes ci-dessus se trouvent dans la section supérieure de mon fichier /etc/rsyslog.conf

Je regarde actuellement 2 fichiers journaux:
/var/log/net-hosts/10.1.1.1
et / var / log / syslog

pendant que je regarde les deux, je vois des journaux se remplir dans le fichier hôte distant, mais pas dans le syslog . J'ai redémarré apache et j'ai vu des entrées de journal dans syslog pour cette tâche.

— parsecpython
source

Merci pour les tests. Mais ça ne marche pas pour moi. Il enregistre toujours tout sur les serveurs / var / log / syslog

— Michael

0

Vous devez vous assurer que vos nouvelles règles sont évaluées avant celle qui se connecte à / var / log / syslog.
Par exemple, sur Ubuntu Trusty (rsyslog 7.4.4) /etc/rsyslog.conf contient de
$IncludeConfig /etc/rsyslog.d/*.conf
sorte que les règles par défaut soient chargées depuis /etc/rsyslog.d/50-default.conf, celle pour / var / log / syslog incluse.

Dans ce cas, vous pouvez ajouter un nouveau fichier à charger avant celui-ci, tel que 00-remote.conf. Pour être complet, voici son contenu pour un système que je gère:

$template RemoteStore, "/var/log/remote/%HOSTNAME%/%timegenerated:1:10:date-rfc3339%"
:source,isequal,"NAS",-?RemoteStore
& ~

— Joril
source