【每日一记7】+第4天 Linux服务器和Nginx配置syslog服务器设置转发

一、将Linux系统日志通过Rsyslog输出到syslog服务器
    Rsyslog是linux系统下高速的日志收集处理服务，它具有高性能、安全可靠和模块化设计的特点，能够接收各种来源的日志输入（例如：file，tcp，udp，uxsock等），并通过处理后将结果输出的不同的目的地（例如：mysql，mongodb，elasticsearch，kafka，日志审计服务器等），每秒处理日志量能够超过百万条。
     Rsyslog作为syslog的增强升级版本已经在各linux发行版默认安装了，无需额外安装。如果操作系统中确实没有Rsyslog，可以通过yum进行安装或升级。
# yum install rsyslog
Linux操作环境以以CentOS 7为例，syslog的接收服务器为某日志审计服务器，syslog服务端口默认为514。
   rsyslog的配置文件位于/etc/rsyslog.conf，编辑该文件，并设置输出syslog服务器的IP（建议先备份原有的rsyslog.conf配置文件）。

// 在rsyslog.conf文件末尾增加如下内容，注意*.*和@中间为TAB（不是空格）
*.* @10.168.1.100
// 重启rsyslog服务
# service rsyslog restart


二、将Nginx的日志输出到syslog服务器
    Nginx 1.7.1版本及以后即可支持syslog，通过在nginx.conf中增加相关的配置即可实现。Nginx的access_log和error_log在配置文件的http段和server段均可配置。
// 将access_log记录到服务器本地文件
access_log  /var/log/nginx/access.log main;
// 新增将access_log输出到syslog server
access_log syslog:server=10.168.1.100,facility=local7,tag=nginx,severity=info;
//将error_log记录到服务器本地文件
error_log   /var/log/nginx//error.log warn;
// 新增将error_log输出到syslog server
error_log syslog:server=10.168.1.100,facility=local7,tag=nginx,severity=warn;
//重启nginx服务
# systemctl restart nginx.service


配置参数说明：
syslog:  表示设置日志用syslog服务接收
server: 接收syslog日志的syslog服务端地址，默认使用udp协议，端口是514
facility: 设施，指定日志消息的设备类型，可以有kern, user, mail, daemon, auth, intern, lpr, news, uucp, clock, authpriv, ftp, ntp, audit, alert, cron, local0-7这些类型。例如认证类型auth、计划任务cron、程序自定义的local0-7等，默认值是local7。（没有什么特别的含义，不必深究）
tag: 标记，给日志添加一个tag，主要是为了方便我们在服务端区分是哪个服务、应用、站点传来的日志，例如我们这里设置了tag为nginx，如果有多个服务同时都写日志给syslog，且配置了不同的tag，如“nginx_mydomain_com”，在rsyslog服务端就可以根据这个tag找出指定的nginx的日志
severity: 日志级别，主要有debug, info, notice, warn(warning), err(error), crit(critical), alert, emerg(panic)这些类型，只要报错信息超过该级别就会进行记录。



三、配置效果
日志审计服务器上收集到的日志列表，标记为本地用户7（local7）的为nginx日志，其余的为服务器的系统日志（用户登录、注销等）

学到了、学到了，感谢分享

学到了、学到了，感谢分享

学到了、学到了，感谢分享

学到了、学到了，感谢分享

学到了、学到了，感谢分享

学到了、学到了，感谢分享

学到了、学到了，感谢分享

学到了、学到了，感谢分享

学到了、学到了，感谢分享