Linux配置rsyslog集中收集日志教程

本文详细讲解了如何通过rsyslog实现Linux服务器日志的集中化收集与管理，涵盖客户端日志转发（推荐TCP可靠传输）、服务端监听配置、按客户端IP自动分目录存储、中文/多版本兼容性调优、SELinux与防火墙适配，以及至关重要的logrotate轮转策略——不仅教你“怎么配通”，更强调生产环境中持续运维的关键细节，如日志防爆盘、版本协同、故障静默排查和自动化维护，帮你构建稳定、可扩展、易监控的日志中枢系统。

怎么让本地服务器把日志发到远程服务器

默认情况下，rsyslog只收本地日志，不主动外发。要让它“说话”，得在客户端配置里加一条转发规则。

最简方式是在 /etc/rsyslog.conf 末尾加一行：

*.* @@192.168.1.100:514

注意：@@ 表示 TCP（可靠传输），@ 是 UDP（可能丢日志）；生产环境务必用 @@。

• IP 和端口必须能 ping 通，且远程服务器的 514 端口在防火墙里放行（ufw allow 514/tcp 或 firewall-cmd --add-port=514/tcp）
• 别写成 *.* @192.168.1.100 —— 缺少端口会导致连接被拒绝，journalctl -u rsyslog 里会看到 connection refused
• 改完后必须执行 systemctl restart rsyslog，reload 不生效

远程服务器怎么正确监听并分目录存日志

服务端光开个端口没用，还得告诉 rsyslog：收到的日志是谁发的、该存哪、按什么格式命名。

先加载模块并监听：

$ModLoad imtcp<br>$InputTCPServerRun 514

再建一个独立配置文件，比如 /etc/rsyslog.d/remote.conf，内容如下：

$template RemoteLogs,"/var/log/remote/%FROMHOST-IP%/%PROGRAMNAME%.log"<br>*.* ?RemoteLogs<br>& ~

• $template 定义路径模板，%FROMHOST-IP% 是自动提取的客户端 IP，避免所有日志混在一个文件里
• & ~ 表示匹配后不再走后续规则，防止日志重复写入 /var/log/messages
• 目录 /var/log/remote/ 必须提前创建并赋权：mkdir -p /var/log/remote && chown syslog:adm /var/log/remote
• 如果用的是较新版本 rsyslog（如 v8.20+），$template 已弃用，得改用 template() 函数语法

为什么日志发过去了，但远程服务器收不到或乱码

常见不是网络问题，而是协议或编码层面的隐性冲突。

• 客户端和服务端 rsyslog 版本差异大时（比如 Debian 12 客户端 + CentOS 7 服务端），imtcp 模块默认启用 TLS，而老版本不支持，结果静默失败 —— 解决办法是加 $InputTCPServerStreamDriverMode 1 关 TLS
• 日志含中文或特殊字符，服务端没设 UTF-8，会显示为 —— 在 /etc/default/rsyslog 加 RSYSLOGD_OPTIONS="-c5 -i /var/run/syslogd.pid -n -f /etc/rsyslog.conf" 并确保系统 locale 是 en_US.UTF-8 或对应中文 locale
• SELinux 启用时（RHEL/CentOS），即使端口开放，rsyslogd 也可能被阻止绑定网络 —— 临时关 SELinux 测试：setenforce 0；长期方案是 setsebool -P syslogd_can_network_connect on

要不要用 logrotate 配合远程日志

要，而且必须配。远程日志目录不会自动轮转，/var/log/remote/192.168.1.128/auth.log 这种文件会越长越大，最后撑爆磁盘。

在 /etc/logrotate.d/remote-logs 里加：

/var/log/remote/*/*.log {<br>    daily<br>    missingok<br>    rotate 30<br>    compress<br>    delaycompress<br>    sharedscripts<br>    postrotate<br>        systemctl kill -s HUP rsyslog<br>    endscript<br>}

• sharedscripts 确保所有匹配文件轮转完才执行 postrotate，避免 HUP 太早导致新日志写错位置
• systemctl kill -s HUP rsyslog 是关键：rsyslog 不读 logrotate 的通知，必须手动发信号重载文件句柄
• 别漏掉 missingok —— 某台客户端下线后，对应目录可能不存在，否则 logrotate 会报错退出

真正麻烦的从来不是“怎么配通”，而是“配通之后没人管轮转、没人查防火墙策略变更、没人同步两端的 rsyslog 版本”。日志管道一旦断裂，往往要等出事了才被发现。

本篇关于《Linux配置rsyslog集中收集日志教程》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！