主页 / server / 问题 / 955012
Accepted
ethrbunny
Asked: 2019-02-21 18:26:39 +0800 CST

rsyslog - 分离本地和远程日志

  • 772

我想使用 rsyslog 来捕获来自 SAN、路由器等的事件。（这将被转发到 kafka 并最终被弹性搜索）到目前为止 - 这工作正常。我在 /etc/rsyslog.d 的配置文件中配置了这个

不起作用的是所有本地日志流量（来自运行 rsyslog 的主机）也被转发。我需要一种将本地日志发送到“标准”本地端点并将远程日志发送到 kafka 的方法。

这可以使用 rsyslog 吗？

rsyslog

1 个回答

  1. Best Answer

    这是似乎有效的开始：

    module(load="imuxsock")  # will listen to your local syslog
module(load="omkafka")   # lets you send to Kafka

template(name="json_lines" type="list" option.json="on") {
  constant(value="{")
  constant(value="\"timestamp\":\"")
  property(name="timereported" dateFormat="rfc3339")
  constant(value="\",\"message\":\"")
  property(name="msg")
  constant(value="\",\"host\":\"")
  property(name="hostname")
  constant(value="\",\"severity\":\"")
  property(name="syslogseverity-text")
  constant(value="\",\"facility\":\"")
  property(name="syslogfacility-text")
  constant(value="\",\"syslog-tag\":\"")
  property(name="syslogtag")
  constant(value="\"}")
}

main_queue(
  queue.workerthreads="1"      # threads to work on the queue
  queue.dequeueBatchSize="100" # max number of messages to process at once
  queue.size="10000"           # max queue size
)

if $hostname != $$myhostname then {
    action(
      broker=["kafka.server:9092"]
      type="omkafka"
      topic="syslog.inbound"
      template="json_lines"
    )

    stop
}

    它当然需要完善，但它似乎确实将外部/内部系统日志消息分开。

    • 1

相关问题