任何 Linux 系统上的日志对于分析和排除与系统和应用程序相关的任何问题都至关重要。借助 Graylog 等工具，您可以轻松地将这些日志发送到集中式平台，以便于可视化。在本指南中，我们将了解如何在 Ubuntu 22.04|20.04|18.04LTS 上配置 Rsyslog 集中日志服务器。

在 Linux 上，默认情况下，所有日志文件都位于 /var/log 目录下。有多种类型的日志文件存储不同的消息，可以是 cron、内核、安全、事件、用户等。大多数这些日志文件由rsyslog服务控制。

在最近使用 systemd 的系统上，一些日志由日志守护程序管理，并且以二进制格式写入。这些日志是易失性的，因为它们被写入 RAM 并且无法承受系统重新启动。它们通常位于 /run/log/journal/ 但请注意，journald 也可以配置为通过写入文件来永久存储日志消息。

我们将配置 rsyslog 服务器作为中央日志管理系统。这遵循客户端-服务器模型，其中 rsyslog 服务将侦听udp/tcp端口。 rsyslog 使用的默认端口是 514。在客户端系统上，rsyslog 将通过 UDP 或 TCP 端口通过网络收集日志并将日志发送到中央 rsyslog 服务器。

使用系统日志消息时，日志文件有一个优先级/严重性级别来表征。即：

Rsyslog 默认安装在新安装的 Ubuntu 系统上。如果由于任何原因未安装该软件包，您可以通过运行以下命令来安装它：

安装后，检查服务是否正在运行：

现在将 rsyslog 服务配置为在服务器模式下运行：

取消注释 udp 和 tcp 端口绑定行：

如果您想限制对特定子网、IP 或域的访问，请添加如下内容：

您可以在 input(type="imtcp" port="514") 行之后添加以上行。请记住用正确的值替换给定的值

让我们创建一个模板来指示 rsyslog 服务器如何存储传入的系统日志消息。在 GLOBAL DIRECTIVES 部分之前添加模板：

收到的日志将使用上面的模板进行解析并存储在目录/var/log/中。文件命名遵循以下约定：%HOSTNAME% 和 %PROGRAMNAME% 变量，即客户端主机名和生成日志消息的客户端设施。

& ~ 指示 rsyslog 守护进程仅将日志消息存储到指定的文件中。

其他可以使用的变量包括：

重新启动 rsyslog 服务以使更改生效：

确认服务是否正在侦听配置的端口：

如果您正在运行 ufw 防火墙服务，请允许 rsyslog 防火墙端口：

完成 rsyslog 服务器的配置后，前往 rsyslog 客户端计算机并将它们配置为将日志发送到远程 rsyslog 服务器。

允许保留 FQDN：

最后添加远程rsyslog服务器：

您还可以使用 FQDN 代替服务器 IP 地址：

上述行将启用通过 UDP 发送日志，对于 tcp，使用 @@ 而不是单个 @

当 rsyslog 服务器关闭时，还要添加以下内容：

然后重启rsyslog服务

另请检查：

在 Ubuntu 18.04 上使用 Graylog 服务器管理日志

如何在 CentOS 7 上安装 Graylog 2.4 和 Elasticsearch。