问题[rsyslog](unix)

我正在开发一个在 Ubuntu Server (16.04) 中运行的 Java 应用程序，该应用程序从某些文件夹复制日志文件，然后在用户关闭会话时进行合并。在 ubuntu 服务器中，rsyslog 会过滤并不断从不同的设备（外部）生成日志，并将日志存储在文件夹中。

在 Java 应用程序复制文件后，我需要轮换日志。为此，我计划使用 logrotate 程序。我创建了一个配置，以便在会话关闭后轮换这些文件（用户通过关闭应用程序中的会话来触发此操作）。

在文件夹（/media/content/persist/log/external/）中创建的文件如下：

-rwxr-xr-x 1 syslog syslog  283 Jul  1 20:49 192.168.10.100-syslog.log
-rwxr-xr-x 1 syslog syslog  24K Jul  1 21:25 192.168.10.11-syslog.log
-rwxr-xr-x 1 syslog syslog 8.6K Jul  1 21:25 192.168.10.10-syslog.log
-rwxr-xr-x 1 syslog syslog 439K Jul  1 21:40 192.168.10.12-syslog.log

日志轮换配置：**文件：rsyslog-fc-rotate.conf**

/media/content/persist/log/external/*-syslog.log
{  
  rotate 4 
  maxsize 5M
  compress  
  missingok
  notifempty 
  postrotate
    invoke-rc.d rsyslog rotate > /dev/null
  endscript
}

当我手动运行 logrotate 时，我得到了下面的结果，没有发生任何旋转

> logrotate -f -d -v rsyslog-fc-rotate.conf 
reading config file rsyslog-fc-rotate.conf

Handling 1 logs

rotating pattern: /media/content/persist/log/external/*-syslog.log
 forced from command line (4 rotations)
empty log files are not rotated, log files >= 5242880 are rotated earlier, old logs are removed
considering log /media/content/persist/log/external/192.168.10.100-syslog.log
  log needs rotating
considering log /media/content/persist/log/external/192.168.10.10-syslog.log
  log needs rotating
considering log /media/content/persist/log/external/192.168.10.11-syslog.log
  log needs rotating
considering log /media/content/persist/log/external/192.168.10.12-syslog.log
  log needs rotating
rotating log /media/content/persist/log/external/192.168.10.100-syslog.log, log->rotateCount is 4
dateext suffix '-20240701'
glob pattern '-[0-9][0-9][0-9][0-9][0-9][0-9][0-9][0-9]'
renaming /media/content/persist/log/external/192.168.10.100-syslog.log.4.gz to /media/content/persist/log/external/192.168.10.100-syslog.log.5.gz (rotatecount 4, logstart 1, i 4), 
renaming /media/content/persist/log/external/192.168.10.100-syslog.log.3.gz to /media/content/persist/log/external/192.168.10.100-syslog.log.4.gz (rotatecount 4, logstart 1, i 3), 
renaming /media/content/persist/log/external/192.168.10.100-syslog.log.2.gz to /media/content/persist/log/external/192.168.10.100-syslog.log.3.gz (rotatecount 4, logstart 1, i 2), 
renaming /media/content/persist/log/external/192.168.10.100-syslog.log.1.gz to /media/content/persist/log/external/192.168.10.100-syslog.log.2.gz (rotatecount 4, logstart 1, i 1), 
renaming /media/content/persist/log/external/192.168.10.100-syslog.log.0.gz to /media/content/persist/log/external/192.168.10.100-syslog.log.1.gz (rotatecount 4, logstart 1, i 0), 
renaming /media/content/persist/log/external/192.168.10.100-syslog.log to /media/content/persist/log/external/192.168.10.100-syslog.log.1
running postrotate script
running script with arg /media/content/persist/log/external/192.168.10.100-syslog.log: "
    invoke-rc.d rsyslog reload > /dev/null
"
compressing log with: /bin/gzip
removing old log /media/content/persist/log/external/192.168.10.100-syslog.log.5.gz
error: error opening /media/content/persist/log/external/192.168.10.100-syslog.log.5.gz: No such file or directory

所有文件都重复出现此消息，并且没有发生轮换。不确定失败的原因。

在我使用此配置的应用程序中，每次关闭会话时都需要轮换文件。此 logrorate 调用将来自 Java 服务。

我想msg使用 rsyslog 修剪字段中的前导和尾随空格。我读到它有调用的函数rtrim，ltrim但我找不到任何关于如何在 RainierScript 中使用函数的解释。如果有人能展示这些功能的示例，我将非常感激。我当前的配置是这样的：

module(load="imudp")
input(type="imudp" port="514" ruleset="forward")

template(name="RFC5424_IP" type="string"
  string="<%PRI%>1 %timegenerated:::date-rfc3339% %fromhost-ip% %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%"
)

ruleset(name="forward") {
  action(type="omfwd"
    protocol="tcp"
    target="127.0.0.1"
    port="40514"
    Template="RFC5424_IP"
    TCP_Framing="octet-counted"
  )
}

我遇到一个问题，omprog模块rsyslog似乎没有使用output参数来捕获脚本的输出到文件。我究竟做错了什么？

我的rsyslog服务器每秒从外部主机接收十几条系统日志消息，并且我希望当任何消息满足特定条件时发生特定任务。因此，我编写了一个 Python 脚本来扫描特定条件stdin并执行任务。（此任务大约每隔几个小时触发一次。）对于所有其他消息，Python 脚本会丢弃该消息并继续侦听。当管道打开时，Python 脚本会无限运行。这一切都很完美。

stdout然后，我在 Python 脚本中添加了一些确认消息，以便在启动时输出“已开始”消息，并在stdout任务发生时输出“完成”消息。我将omprog的confirmMessages参数设置为off，并将output参数设置为 中的一个文件/var/log。的输出getenforce告诉我 SELinux 已关闭。当我重新启动时rsyslog，永远不会创建该文件，并且永远不会捕获输出。

因此，我touch以 syslog 用户身份编辑了该文件，然后重新启动rsyslog，但这并不能解决问题。执行 asystemctl status rsyslog表明 Python 脚本正在运行。当脚本看到特定消息时，我可以确认特定消息正在执行。

手动运行 Python 脚本确实会产生输出，并无限期地驻留在那里，直到我按Ctrl+ D。

我还配置了 Python 脚本输出，stderr而不只是stdout为了看看这是否会产生影响。重新启动后rsyslog，仍然没有输出文件。

系统：Ubuntu 20.04.2 LTS

rsyslogd：version 8.2001.0

rsyslog配置：

module(load="omprog")
if $fromhost-ip == '10.200.25.5'     then {
  action(type="omfile"
    file="/var/log/network")
  action(type="omprog"
    name="rsyslog_watch_vpn_attach"
    binary="/usr/share/rsyslog/watch_syslog_vpn_attach.py"
    confirmMessages="off"
    output="/var/log/watch_vpn_attach.log")
  stop
}

该/var/log/network文件正在构建。该/var/log/watch_vpn_attach.log文件未构建。

有谁知道我做错了什么？

我正在使用自定义 python 脚本来处理日志，并禁止违规 IP。这是我的行/etc/rsyslog.conf：

local0.*  action(type="omprog" name="asterisk" binary="/usr/local/sbin/asterisk.py")

当我的脚本生成一些错误时，我在日志中的任何位置都看不到它（但当我使用给定的输入手动运行脚本时，我确实看到了 python 错误）

我是否必须明确地将错误重定向到某个地方？

我在 Debian 10 上使用 rsyslog 8.1901

我创建了一个数据库，如下所述：

https://github.com/rsyslog/rsyslog/blob/master/plugins/ompgsql/createDB.sql

我在数据库中创建了一个“root”用户并授予插入权限：

Syslog=# create user "root";
Syslog=# grant insert on table SystemEvents to "root";
Syslog=# grant insert on table SystemEventsProperties to "root";

连接工作正常：

# psql Syslog -c '\conninfo'
You are connected to database "Syslog" as user "root" via socket in "/var/run/postgresql" at port "5432".

然后我尝试了几种不同的方法来在“rsyslog.conf”中指定主机：

*.* action(type="ompgsql" server="" db="Syslog" uid="root" pwd="")
*.* action(type="ompgsql" server="/run/postgresql" db="Syslog" uid="root" pwd="")
*.* action(type="ompgsql" server="/run/postgresql/.s.PGSQL.5432" db="Syslog" uid="root" pwd="")

什么都不起作用。我总是收到错误：

数据库错误（1）：没有连接到服务器[v8.2102.0]

如何解决这个问题？

我最近了解到它journalctl占用了我 16GB SD 卡（Raspberry Pi）的很大一部分：

$ journalctl --disk-usage
Archived and active journals take up 312.1M in the file system.  

我没有这种感觉，journalctl并且journald在我的用例中为这台机器拉了重担。这是一个老式的 RPi，并且rsyslog还在运行。我估计我的需求和使用journalctl可能是“千载难逢”。因此，我决定禁用journald- which "feeds" journalctl。我认为这很简单，使用systemctltostop或者只是disableing thesystemd-journald.service以便它不会在下次启动时启动。

在拔掉插头之前，我决定做一些研究。没有找到数千个提供“操作方法”建议的参考资料，而是针对我的特定搜索词“如何禁用日记”的结果非常少。相反，结果大多提供了减少资源消耗journald的建议。我确实找到了一些让我停下来的参考资料：

ArchLinuxjournald论坛中的一个旧帖子表明，禁用它是不可能的。即，但这篇文章现在已经有 10 年历史了......"Masking systemd-journald causes all kinds of dependency failures and drops you at an emergency prompt."

systemd-journald.service 手册说，"stopping it [systemd-journald.service] is not recommended.". 文档从那里开始讨论命名空间？

我了解到阻止systemd单位启动的常用命令无效；即它正常启动：

$ sudo systemctl disable systemd-journald.service
$ sudo reboot 

# ... and after boot & login:

$ systemctl status systemd-journald.service
● systemd-journald.service - Journal Service
     Loaded: loaded (/lib/systemd/system/systemd-journald.service; static)
     Active: active (running) since Fri 2022-06-03 07:30:29 UTC; 1min 59s ago
TriggeredBy: ● systemd-journald-audit.socket
             ● systemd-journald.socket
             ● systemd-journald-dev-log.socket
       Docs: man:systemd-journald.service(8)
             man:journald.conf(5)
   Main PID: 134 (systemd-journal)
     Status: "Processing requests..."
      Tasks: 1 (limit: 1598)
        CPU: 820ms
     CGroup: /system.slice/systemd-journald.service
             └─134 /lib/systemd/systemd-journald

...
$ 

怎么可能journald被禁用？...或者可以禁用它吗？

如果不是，为什么systemd开发人员会强迫用户这样做？（好的，是的 - 征求意见，所以忘记这部分问题。）

rsyslog 无法向/var/log/messages外部 syslog 收集器发送消息或向其发送消息，如下所述。

我有一个 AWS EC2 RHEL 7 实例和一个本地 RHEL 7 实例。它们都是最小安装、标准 AMI 等。rsyslog除了添加.conf文件/etc/rsyslog.d/以将日志记录发送到外部 syslog 收集器外，配置是默认配置。本地实例将系统日志发送到本地收集器。AWS 实例将其发送到基于 EC2 的收集器。两个收集器在相同的配置中运行相同的软件，并从其他来源接收事件，否则正常运行。

/etc/rsyslog.conf在两个实例之间是相同的。以下是未注释的行：

# grep -v "^#\|^$" /etc/rsyslog.conf
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imjournal # provides access to the systemd journal
$WorkDirectory /var/lib/rsyslog
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$IncludeConfig /etc/rsyslog.d/*.conf
$OmitLocalLogging on
$IMJournalStateFile imjournal.state
*.*;mail.none;authpriv.none;cron.none                /var/log/messages
authpriv.*                                              /var/log/secure
mail.*                                                  -/var/log/maillog
cron.*                                                  /var/log/cron
*.emerg                                                 :omusrmsg:*
uucp,news.crit                                          /var/log/spooler
local7.*                                                /var/log/boot.log

在云实例上添加了/etc/rsyslog.d/21-cloudinit.conf：

# Log cloudinit generated log messages to file
:syslogtag, isequal, "[CLOUDINIT]" /var/log/cloud-init.log

# comment out the following line to allow CLOUDINIT messages through.
# Doing so means you'll also get CLOUDINIT messages in /var/log/syslog
& stop

在这两种情况下还有/etc/rsyslog.d/listen.conf：

# cat /etc/rsyslog.d/listen.conf
$SystemLogSocketName /run/systemd/journal/syslog

在这两个实例/etc/rsylog.d/xdr.conf上都添加了。它仅因系统日志消息的目的地而异，见下文。

云实例：

# cat /proc/version
Linux version 3.10.0-1160.62.1.el7.x86_64 (mockbuild@x86-vm-39.build.eng.bos.redhat.com) (gcc version 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC) ) #1 SMP Wed Mar 23 09:04:02 UTC 2022

# yum list installed | grep rsyslog
rsyslog.x86_64               8.24.0-57.el7_9.2 @rhel-7-server-rhui-rpms

# cat /etc/rsyslog.d/xdr.conf
# Forward all log messages to Taegis XDR
# AWS Collector
*.*    @@aws-v-xxxxxx-xxxxxx-xxxxxxxxxxxxx.elb.us-east-1.amazonaws.com:601

# On-Prem Collector
#*.*    @@scwx-collector.xxx.local:601

本地实例：

# cat /proc/version
Linux version 3.10.0-1160.62.1.el7.x86_64 (mockbuild@x86-vm-39.build.eng.bos.redhat.com) (gcc version 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC) ) #1 SMP Wed Mar 23 09:04:02 UTC 2022

# yum list installed | grep rsyslog
rsyslog.x86_64                    8.24.0-57.el7_9.2          @rhel-7-server-rpms

# cat /etc/rsyslog.d/xdr.conf
# Forward all log messages to Taegis XDR
# AWS Collector
#*.*    @@aws-v-xxxxxx-xxxxxx-xxxxxxxxxxxxx.elb.us-east-1.amazonaws.com:601

# On-Prem Collector
*.*    @@scwx-collector.xxx.local:601

xdr.conf可以从端口 601 上的每个实例访问中列出的端点。我通过快速telnet会话独立确认。

# telnet scwx-collector.xxx.local 601
Trying 10.100.11.37...
Connected to scwx-collector.xxx.local.
Escape character is '^]'.

# telnet aws-v-xxxxxx-xxxxxx-xxxxxxxxxxxxx.elb.us-east-1.amazonaws.com 601
Trying 10.200.2.89...
Connected to aws-v-xxxxxx-xxxxxx-xxxxxxxxxxxxx.elb.us-east-1.amazonaws.com.
Escape character is '^]'.

AWS 实例工作正常。Syslog 消息被传送到收集器和/var/log/messages. 本地服务器无法将消息传递到这两个位置。

在本地服务器上，如果我重命名并重新启动xdr.conf服务，则会立即开始填充。启用后它们是空的 - 没有更多的条目出现。外部 syslog 收集器不显示任何接收到的事件，也不显示在 syslog 端点之间传输的任何数据包。xdr.conf.bakrsyslog/var/log/messagesxdr.conftcpdump

为什么 rsyslog 既不向/var/log/messages外部收集器也不向外部收集器发送消息？唯一的区别是它将消息发送到的端点，据我所知，这些端点既可访问又正常运行。甚至 syslog 收集器端点也是相同的配置。两个操作系统是一样的，rsyslog是同一个版本。我该如何进一步解决这个问题？

在 rsyslog 将它们发送到远程日志服务器之前，我正在努力删除某些 syslog 消息。

这是我的整个 rsyslog.conf 文件，如下所示：

# /etc/rsyslog.conf configuration file for rsyslog
#
# For more information install rsyslog-doc and see
# /usr/share/doc/rsyslog-doc/html/configuration/index.html
#
# Default logging rules can be found in /etc/rsyslog.d/50-default.conf

#################
#### MODULES ####
#################

module(load="imuxsock") # provides support for local system logging
#module(load="immark")  # provides --MARK-- message capability

# provides kernel logging support and enable non-kernel klog messages
module(load="imklog" permitnonkernelfacility="on")

###########################
#### GLOBAL DIRECTIVES ####
###########################

#
# Use traditional timestamp format.
# To enable high precision timestamps, comment out the following line.
#
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# Filter duplicated messages
$RepeatedMsgReduction on

#
# Set the default permissions for all log files.
#
$FileOwner syslog
$FileGroup adm
$FileCreateMode 0640
$DirCreateMode 0755
$Umask 0022
$PrivDropToUser syslog
$PrivDropToGroup syslog

#
# Where to place spool and state files
#
$WorkDirectory /var/spool/rsyslog

:msg, contains, "sudo: pam_unix(sudo:session):" ~
:msg, contains, "sudo:   zabbix : TTY=unknown ; PWD=/ ; USER=root ;" ~

*.*     @192.168.3.2:514

重新启动服务后，我继续在远程日志服务器上获取 sudo 消息。

甚至可以在远程发送消息之前丢弃消息吗？

我必须在rsyslog.d.conf 主文件中使用基于优先级的文件吗？

我在 Ubuntu 20.04.3 上运行 Rsyslog 8.2001。

旁注：我知道 ~ 已弃用，但使用stop也没有丢弃消息。

我有一个 cron 脚本通过| logger ….

1. 我理解这/var/log/syslog主要用于关键或错误消息，并且/var/log/messages用于信息性、非关键消息。

2. 如果前面是真的（我可能弄错了），我不确定如何只将不重要的、平凡的消息记录到 JUST /var/log/messages？-p我尝试使用记录器记录的所有（优先级）参数都记录到两者或都不记录。我在这里错过了一些简单的东西吗？

今天下午大约 3 个小时，我收到了以下来自我没有的服务的消息（卸载或从未听说过）：

[2020-01-27 14:02:57] dss-mint [daemon.info] [systemd] Started ntp-systemd-netif.path.
[2020-01-27 14:03:11] dss-mint [daemon.err] [ntpdate] the NTP socket is in use, exiting
[2020-01-27 14:06:44] dss-mint [daemon.info] [ntpd] Deleting interface #4 wlxbcec23100000, 192.168.0.11#123, interface stats: received=119, sent=128, dropped=0, active_time=416 secs

我使用systemd-timesyncd ，在安装系统后不久就卸载了ntpd和ntpdate 。除了今天，这些幻像服务从未出现在任何日志（rsyslog 或日志）中。ntp-systemd-netif条目尤其令人不安；我在网上找不到任何东西，而且 systemctl 搜索结果是空的。

更新：我在这段时间内将module(load="imjournal")添加到我的文件中（使用 syslog 格式）。/etc/rsyslog.conf这些消息是否有可能错误地来自期刊？那里有较旧的ntp条目，但没有比 2019 年 11 月更新的条目。