主页 / server / 问题 / 26430
Accepted
kubanczyk
Asked: 2009-06-17 02:19:00 +0800 CST

从 syslogd 迁移到 syslog-ng 期间的 FQDN

  • 772

我正在 SLES 9 服务器上从 syslogd 迁移到 syslog-ng（库存版本 1.6.8 的 syslog-ng）。服务器恰好是一些远程记录器的日志主机。

当涉及到日志中打印的主机名时，如何配置 syslog-ng 以确保与 syslogd 行为的最大兼容性？有一些自定义脚本可以分析日志，这些脚本可能依赖于主机名来保持不变。其中一些已被 syslogd 报告为 FQDN，如果它们现在被剥离，肯定会发生名称冲突。

顺便说一句，我没有使用 syslogd -s 或 -l 选项来去除 FQDN。

我目前对 syslog-ng 选项的研究快照（更新：这是不正确的，请参阅我的自我回答）：

options {
        check_hostname(yes);    # invalid chars?
        keep_hostname(yes);     # yes - if there is a hostname embedded in the message, it will
                                #   be kept without overwrite/append
                                #   see https://lists.balabit.hu/pipermail/syslog-ng/2002-August/003669.html
                                #   note: RFC3164 allows either short hostname or IP, no FQDN

        use_dns(yes);           # if there is no hostname embedded in the message, try DNS

        use_fqdn(no);           # do not try to expand everything to FQDN? strip all FQDNs? strip only DNS-resolved FQDNs?
                                # old syslogd behaviour (?): use embedded hostname, print fqdn (strip only local
                                #   domain + strip "-s" domains + strip domains for "-l" hosts)

        chain_hostnames(no);    # if keep_hostname(no) or hostname not embedded, attach (rather than assign)
                                #   hostname/IP of *sender*; same as long_hostnames(off)

        sync(0);                # sync immediately
};

我发现 syslog-ng 手册有些不足。

linux syslog sles

3 个回答

  1. Best Answer

    自答。模仿 syslogd 的行为似乎是不可能的。经过大量实验后，我提供了我对 syslog-ng 选项的研究/猜测的更新快照：

    options {
        #####################################################################
        ### the flow of decisions for hostnames, syslog-ng 1.6.8:

        use_dns(yes);           # yes = first resolve the IP in $HOST_FROM (the message sender)

        keep_hostname(no);      # no = ignore $HOST embedded in the message (rare); overwrite $HOST with $HOST_FROM
                                #   note: RFC3164 allows embedding short hostname or IP, not FQDN

        use_fqdn(yes);          # yes = expand everything to FQDN, including local name
                                # Note syslogd behaviour is incompatible: use FQDN, but strip local
                                #   domain + strip "-s" domains + strip domains for "-l" hosts

        chain_hostnames(no);    # no = keep $FULLHOST same as $HOST; 
                                #   do not expand $FULLHOST into either "src@$HOST" for localhost, 
                                #   or to "$HOST/$HOST_FROM" for remote client

        #long_hostnames(no);    # synonym of chain_hostnames

        ### with default template, the resulting $FULLHOST is written to log
        #####################################################################

        check_hostname(yes);    # invalid chars?

        sync(0);                # sync immediately
};

    我发现来自远程系统的消息可能没有嵌入主机名，这导致 keep_hostname 没有用。

    • 1

  2. 您拥有的选项可能是您想要的，除了use_dns(yes);. 启用该功能将导致 syslog-ng 对来自日志的 IP 地址进行 DNS 查找。这是一个很大的性能损失（DNS 查找作为日志进入 syslog-ng 必须阻止，因为它无法写入日志，直到 dns 查找返回），这也意味着如果日志不包含条目, syslog-ng 会尝试用 DNS 主机名填充它，而传统的 syslog 会用日志源的 IP 地址填充它。

    老实说，您绝对需要的唯一行是keep_hostname(yes);and （只是为了避免无效字符）check_hostname(yes);，. 其余的不会伤害任何东西，但不是严格要求的（一个例外是use_dns(yes);，如上所述，您不想要它）。

    • 0

  3. 为了降低名称解析的性能影响，您还可以尝试这些技巧： http ://www.balabit.com/dl/html/syslog-ng-v3.0-guide-admin-en.html/ch07s04.html

    “我发现 syslog-ng 手册有些不足。” > 欢迎通过 [email protected] 或 syslog-ng 邮件列表 ( https://lists.balabit.hu/mailman/listinfo/syslog-ng ) 对 syslog-ng 手册和文档进行评论和反馈。

    请让我知道 use_dns(yes) 选项是否适合您的情况，我将尝试在下一个版本中使这部分文档更清晰。

    • 0

相关问题