在讲解syslog命令之前，需要澄清一点：通常情况下，syslog不是一个可以直接运行的命令，而是指系统日志守护程序和它处理的日志文件。在Linux中，管理系统日志的工具通常是systemd-journald，rsyslog或者syslog-ng。本教程将以rsyslog为例，来说明如何管理系统日志。
Linux syslog命令介绍
rsyslog是一个开源的系统日志处理软件，广泛用于Linux环境中来收集、处理和转发日志数据。它是syslog协议的一个扩展版本，具有高性能、模块化和可配置性强等特点。
Linux syslog命令适用的Linux版本
rsyslog在大多数现代Linux发行版中都是预装的。如果你发现系统中没有安装，可以通过以下命令进行安装：
# 基于apt的发行版（如Debian、Ubuntu、Raspbian、Kali Linux等）
sudo apt-get update && sudo apt-get install rsyslog
# 基于yum的发行版（如RedHat，CentOS 7等）
sudo yum update && sudo yum install rsyslog
# 基于dnf的发行版（如Fedora，CentOS 8等）
sudo dnf update && sudo dnf install rsyslog
# 基于apk的发行版（如Alpine Linux）
sudo apk add rsyslog
# 基于pacman的发行版（如Arch Linux）
sudo pacman -Syu rsyslog
# 基于zypper的发行版（如openSUSE）
sudo zypper ref && sudo zypper in rsyslog
# 基于pkg的FreeBSD发行版
sudo pkg update && sudo pkg install rsyslog
# 基于Homebrew的OS X/macOS发行版
brew update && brew install rsyslog
Linux syslog命令的基本语法
rsyslog的配置通常在/etc/rsyslog.conf文件和/etc/rsyslog.d/目录下的文件中。通常不会直接运行rsyslog命令，而是通过编辑配置文件来管理日志。
Linux syslog命令的常用选项或参数说明
由于rsyslog通常通过配置文件来设置，因此没有传统意义上的命令行选项。但是，配置文件中使用的指令是有许多的。下面是rsyslog配置文件中一些常用的指令：
| 指令 | 描述 |
|---|---|
$ModLoad | 加载指定的模块 |
$InputFileName | 设置输入文件的名字 |
$InputFileTag | 为日志消息设置标签 |
$InputFileStateFile | 为输入文件状态设置文件名 |
$InputFileSeverity | 设置日志消息的严重性等级 |
$InputFileFacility | 设置日志消息的设施代码 |
$InputRunFileMonitor | 开启文件监控 |
Linux syslog命令实例详解
实例1：查看系统日志
查看系统日志文件通常使用cat、less或tail等命令。以下是使用tail命令实时查看最新日志的例子：
[linux@bashcommandnotfound.cn ~]$ tail -f /var/log/syslog
实例2：配置rsyslog转发日志到远程服务器
编辑/etc/rsyslog.conf文件，添加以下配置来转发日志：
*.* @@remote-host:514
*.* 表示所有的日志级别和设施，@@ 表示使用TCP协议（单个@表示使用UDP协议），remote-host 是远程日志服务器的主机名或IP地址，514 是syslog标准端口。
实例3：过滤日志级别和设施
在/etc/rsyslog.conf或/etc/rsyslog.d/目录下的配置文件中，你可以设置过滤器来只记录特定级别的日志。以下是一个示例：
*.info;mail.none;authpriv.none;cron.none /var/log/messages
这行配置表示记录所有.info级别（以及更高级别）的日志，但是排除mail、authpriv和cron相关的日志。
实例4：创建自定义日志文件
同样在rsyslog的配置文件中，你可以设置规则将特定的日志消息发送到自定义的日志文件。例如：
auth,authpriv.* /var/log/auth.log
上面这行配置将所有auth和authpriv设施的日志消息保存到/var/log/auth.log文件中。
实例5：分割日志文件
在rsyslog的配置文件中，你可以使用模板来分割日志到不同的文件。例如，将不同级别的日志写入到不同的文件：
*.emerg /var/log/emergency.log
*.alert /var/log/alert.log
*.crit /var/log/critical.log
*.err /var/log/error.log
*.warning /var/log/warning.log
*.notice /var/log/notice.log
*.info /var/log/info.log
*.debug /var/log/debug.log
这样配置后，每种级别的日志都会被写入到对应的文件中，方便管理和查看。
实例6：使用模板自定义日志格式
在rsyslog中，你可以定义模板来控制日志消息的格式。例如，创建一个模板来包含时间戳和主机名：
$template CustomFormat,"%timegenerated% %HOSTNAME% %msg%\n"
*.* /var/log/custom.log;CustomFormat
这里定义了一个名为CustomFormat的模板，然后将所有级别的日志都按照这个格式写入到/var/log/custom.log文件中。
实例7：使用条件语句过滤日志
rsyslog允许你使用条件语句来过滤日志消息。例如，只记录特定程序的日志：
if $programname == 'sshd' then /var/log/sshd.log
& stop
这个配置会将sshd程序的日志写入到/var/log/sshd.log，并且使用& stop来阻止这些消息被处理到其他日志文件中。
实例8：限制日志大小和实现日志轮转
虽然rsyslog本身不直接管理日志文件的大小和轮转，但是你可以使用logrotate来实现。例如，创建一个logrotate配置文件：
/var/log/messages {
rotate 5
weekly
missingok
notifempty
compress
delaycompress
postrotate
/usr/bin/systemctl reload rsyslog.service > /dev/null 2>/dev/null || true
endscript
}
这个配置会每周轮转/var/log/messages日志文件，保留最近5个归档，并对旧日志进行压缩。
实例9：配置高级过滤器
rsyslog支持基于属性的过滤器，可以基于各种日志消息属性进行过滤。例如，过滤IP地址：
if $fromhost-ip == '192.168.1.1' then /var/log/host-192.168.1.1.log
& stop
这个配置将只把来自IP地址192.168.1.1的日志消息写入到/var/log/host-192.168.1.1.log文件，并停止进一步处理。
实例10：远程日志服务器设置
在远程日志服务器上，你也需要配置rsyslog以接受来自其他主机的日志。打开/etc/rsyslog.conf文件，并去掉以下行的注释：
# Provides UDP syslog reception
module(load="imudp")
input(type="imudp" port="514")
# Provides TCP syslog reception
module(load="imtcp")
input(type="imtcp" port="514")
然后重启rsyslog服务：
sudo systemctl restart rsyslog
这样配置后，服务器将开始监听UDP和TCP的514端口，等待接收日志消息。
Linux syslog命令的注意事项和高级配置
- 在修改了
rsyslog的配置文件后，需要重启rsyslog服务才能使改动生效。可以使用以下命令来重启rsyslog：
sudo systemctl restart rsyslog
rsyslog配置非常灵活，支持基于模板的日志格式自定义、高级过滤器、条件语句等功能。- 确保远程日志接收服务器已经配置好并允许来自你的服务器的日志消息。
- 配置远程日志传输时，考虑安全性，特别是在使用TCP协议时，可以配置TLS加密来保护日志数据。
- 为了确保系统的安全，不要轻易地将日志文件的权限设置得过于宽松。只有当真正需要时，才为某些用户或进程赋予访问日志文件的权限。
- 定期维护和归档日志文件，以避免日志文件过大占用过多磁盘空间。
- 对于更复杂的日志处理需求，可以考虑使用日志管理系统，如ELK Stack（Elasticsearch, Logstash, Kibana）或Graylog。
评论区