主页 / server / 问题 / 799624
Accepted
Alexander Sergeyev
Asked: 2016-08-29 10:33:09 +0800 CST

syslog-ng：过滤未分类的消息

  • 772

我设置了一个配置，其中消息被分类并写入相应的文件（目的地）。我想知道 -是否可以将特定过滤器未捕获的文件消息记录到文件中？

例如，有dhcpd, dhclient, acpid,sshd消息的过滤器。我想要的是获取不属于上述所有 4 个类别的消息。

我看到tags可以作为内部的每消息结构使用。我试图为每个类别设置一个标记并像这样抓取未标记：

rewrite r_set_routed { set-tag('routed'); };
filter f_untagged { not tags('routed'); };
filter f_dhcpd_program { program('dhcpd'); };
<...>
log { source(s_local); rewrite(r_set_routed); filter(f_dhcpd_program); destination(d_dhcpd_file); };
<...>
log { source(s_local); filter(f_untagged); destination(d_unfiltered_file); };

但这不起作用（看起来r_set_routed重写一个log {}不会影响另一个log {}）。我知道可以否定所有过滤器以产生不匹配的所有过滤器，但这是我想避免的容易出错和肮脏的方式。

syslog syslog-ng

1 个回答

  1. Best Answer

    在具有过滤器的日志路径中使用“标志（最终）”选项，并在末尾使用未标记消息的日志路径。最后一个日志路径不需要过滤器或标志。有关详细信息，请参阅https://www.balabit.com/documents/syslog-ng-ose-latest-guides/en/syslog-ng-ose-guide-admin/html/reference-logflags.html

    • 1

相关问题