Linux rsyslogd服务详解：从基础到生产级实践

目录#

1. 什么是rsyslogd？
2. rsyslogd的核心架构与组件
3. rsyslogd配置基础 3.1 主配置文件结构 3.2 核心配置指令解析 3.3 日志过滤规则：Selector语法
4. 常见使用场景与示例 4.1 本地日志管理 4.2 配置远程日志服务器（接收端） 4.3 配置远程日志客户端（发送端） 4.4 日志格式转换与结构化输出 4.5 日志归档与轮转
5. rsyslogd最佳实践
6. 故障排查与常见问题解决
7. 进阶话题：rsyslogd与现代日志生态
8. 总结
9. 参考资料

1. 什么是rsyslogd？#

rsyslogd是Linux系统中的系统日志守护进程，负责收集、过滤、转发系统与应用程序的日志。它通过模块化架构支持多种输入（如本地socket、TCP/UDP、文件）、输出（如文件、数据库、远程服务器）与处理逻辑（如过滤、格式转换），是构建集中式日志系统的核心组件。

关键特性#

• 可靠性：支持持久化队列（Persistent Queue），即使服务重启也不会丢失日志。
• 性能：多线程设计，可处理十万级日志/秒。
• 安全性：支持TLS加密传输、IP白名单、身份认证。
• 扩展性：通过模块扩展功能（如对接Elasticsearch、Kafka）。

2. rsyslogd的核心架构与组件#

rsyslogd的工作流程基于模块化管道：输入 → 解析 → 过滤 → 动作。每个环节由对应的模块实现。

2.1 核心模块类型#

rsyslogd的模块以im（Input，输入）、om（Output，输出）、pm（Parser，解析）、fm（Filter，过滤）等前缀命名，常见模块如下：

2.2 处理管道流程#

1. 输入（Input）：通过输入模块收集日志（如本地socket、远程TCP）。
2. 解析（Parser）：将原始日志解析为结构化数据（如提取时间戳、主机、设施）。
3. 过滤（Filter）：根据规则筛选日志（如仅保留authpriv设施的日志）。
4. 动作（Action）：对过滤后的日志执行操作（如写入文件、转发到远程）。

3. rsyslogd配置基础#

rsyslogd的配置文件默认位于/etc/rsyslog.conf，并通过include()指令加载/etc/rsyslog.d/目录下的自定义配置（推荐将自定义规则放在此处，避免修改主配置）。

3.1 主配置文件结构#

配置文件分为三个部分：

1. 全局指令：配置rsyslogd的全局行为（如工作目录、队列设置）。
2. 模块加载：通过module(load="模块名")加载所需模块。
3. 规则集：由**Selector（过滤规则）和Action（动作）**组成，定义“哪些日志需要做什么”。

3.2 核心配置指令解析#

以下是常用的全局指令与模块加载示例：

3.2.1 全局指令（以$开头的传统语法，或global()的新语法）#

• 传统语法：

  $WorkDirectory /var/spool/rsyslog  # 工作目录（用于持久化队列）
  $ActionQueueType LinkedList        # 队列类型（LinkedList为内存队列，FixedArray为固定大小队列）
  $ActionQueueFileName myqueue       # 持久化队列文件名（重启后保留）
  $ActionQueueMaxDiskSpace 1g        # 队列最大磁盘空间（超过则丢弃旧日志）

• 新语法（推荐）：

  global(
      workDirectory="/var/spool/rsyslog"
      actionQueueType="LinkedList"
      actionQueueFileName="myqueue"
      actionQueueMaxDiskSpace="1g"
  )

3.2.2 模块加载#

使用module(load="模块名")加载模块，例如：

module(load="imtcp")        # 加载TCP输入模块
module(load="omelasticsearch")  # 加载Elasticsearch输出模块

3.3 日志过滤规则：Selector语法#

Selector是rsyslogd的核心过滤逻辑，格式为设施.优先级，用于筛选日志的来源（设施）和严重程度（优先级）。

3.3.1 设施（Facility）#

设施表示日志的来源类型，常见设施如下：

3.3.2 优先级（Priority）#

优先级表示日志的严重程度，从低到高排序：

3.3.3 Selector示例#

• authpriv.*：所有authpriv设施的日志（无论优先级）。
• *.err：所有设施的错误级及以上日志。
• local0.info：local0设施的info及以上日志。
• mail.!err：mail设施的非错误级日志（!表示排除）。

3. rsyslogd配置基础（续）#

3.4 规则：Selector + Action#

rsyslogd的规则由Selector和Action组成，表示“符合Selector的日志执行Action”。常见Action如下：

示例规则#

# 所有authpriv日志写入/var/log/secure
authpriv.* /var/log/secure
 
# local0设施的info及以上日志转发到远程服务器
local0.info @@192.168.1.50:514
 
# 内核日志忽略
kern.* ~

4. 常见使用场景与示例#

4.1 本地日志管理#

本地日志是rsyslogd的默认功能，主要通过imuxsock模块接收本地进程的日志（如logger命令、系统服务）。

示例：自定义应用日志#

假设应用使用local0设施输出日志，需将其写入/var/log/myapp.log：

1. 编辑配置文件/etc/rsyslog.d/myapp.conf：

   # 加载本地socket模块（默认已加载）
   module(load="imuxsock")
    
   # 规则：local0设施的所有日志写入/var/log/myapp.log
   local0.* /var/log/myapp.log

2. 重启rsyslogd：

   systemctl restart rsyslog

3. 测试：使用logger命令发送日志：

   logger -p local0.info "Hello from myapp"

4. 验证：查看/var/log/myapp.log，应包含测试日志。

4.2 配置远程日志服务器（接收端）#

远程日志服务器用于集中收集多台客户端的日志，需开启TCP/UDP端口接收日志。

示例：TCP远程日志服务器#

1. 安装TCP输入模块（部分发行版默认未安装）：
   • Debian/Ubuntu：apt install rsyslog-imtcp
   • RHEL/CentOS：yum install rsyslog-imtcp
2. 编辑/etc/rsyslog.d/remote.conf：

   # 加载TCP输入模块
   module(load="imtcp")
   # 监听TCP 514端口（syslog默认端口）
   input(type="imtcp" port="514")
    
   # 规则：将所有远程日志写入/var/log/remote/all.log
   *.* /var/log/remote/all.log
    
   # 规则：按客户端IP分文件存储（示例：192.168.1.100的日志写入client100.log）
   :fromhost-ip,isequal,"192.168.1.100" /var/log/remote/client100.log

3. 重启rsyslogd并开放防火墙：

   systemctl restart rsyslog
   # 开放TCP 514端口（firewalld）
   firewall-cmd --add-port=514/tcp --permanent
   firewall-cmd --reload

4.3 配置远程日志客户端（发送端）#

客户端需将本地日志转发到远程服务器，常见协议为TCP（可靠）或UDP（性能高但不可靠）。

示例：TCP客户端配置#

1. 编辑/etc/rsyslog.d/remote-client.conf：

   # 所有日志通过TCP转发到192.168.1.50:514
   *.* @@192.168.1.50:514

   • @@表示TCP协议，@表示UDP协议。
2. 重启rsyslogd：

   systemctl restart rsyslog

3. 测试：发送测试日志，验证服务器是否接收：

   logger -p local0.info "Test from client"

4.4 日志格式转换与结构化输出#

传统syslog日志为文本格式，难以解析。rsyslogd支持通过模板（Template）将日志转换为JSON等结构化格式，方便后续分析（如ELK Stack）。

示例：JSON格式模板#

1. 编辑/etc/rsyslog.d/json.conf：

   # 定义JSON模板
   $template JsonFormat,"{\"timestamp\":\"%timereported:::date-rfc3339%\",\"host\":\"%hostname%\",\"facility\":\"%syslogfacility-text%\",\"priority\":\"%syslogpriority-text%\",\"message\":\"%msg:::json%\"}\n"
    
   # 所有日志按JSON格式转发到远程服务器
   *.* @@192.168.1.50:514;JsonFormat

   • %timereported%：日志生成时间（RFC 3339格式）。
   • %hostname%：主机名。
   • %msg:::json%：将日志内容转义为JSON格式。
2. 重启rsyslogd后，远程服务器将收到JSON格式的日志：

   {"timestamp":"2024-05-20T14:30:00+08:00","host":"client01","facility":"local0","priority":"info","message":"Test from client"}

4.5 日志归档与轮转#

日志文件会不断增大，需通过logrotate工具定期轮转（压缩、删除旧日志）。rsyslogd与logrotate无缝集成。

示例：logrotate配置#

1. 创建/etc/logrotate.d/rsyslog：

   /var/log/remote/*.log {
       daily          # 每日轮转
       rotate 7       # 保留7天日志
       compress       # 压缩旧日志
       delaycompress  # 延迟压缩（保留当天日志不压缩）
       missingok      # 忽略文件不存在的错误
       notifempty     # 空文件不轮转
       create 0640 root adm  # 新建日志文件的权限
       sharedscripts  # 所有文件轮转后执行脚本
       postrotate
           /bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
       endscript
   }

2. 手动测试轮转：

   logrotate -f /etc/logrotate.d/rsyslog

5. rsyslogd最佳实践#

5.1 可靠性：使用TCP与持久化队列#

• 优先选择TCP：UDP无重传机制，易丢失日志。
• 启用持久化队列：对 critical 动作（如转发到远程服务器）启用持久化队列，避免服务重启丢失日志：

  action(
      type="omfwd"
      target="192.168.1.50"
      port="514"
      protocol="tcp"
      queue.type="LinkedList"
      queue.filename="remote_queue"
      queue.maxdiskspace="1g"
      queue.saveonshutdown="on"
  )

5.2 安全性：加密与访问控制#

• TLS加密传输：使用TLS加密TCP日志，防止中间人攻击（参考rsyslog TLS文档）。
• IP白名单：限制仅信任的IP能发送/接收日志（通过防火墙或rsyslog的allow指令）。
• 最小权限：日志文件的权限设置为0640（仅root和adm组可读），避免敏感信息泄露。

5.3 可维护性：规范配置#

• 分离配置文件：将自定义规则放在/etc/rsyslog.d/目录（如remote.conf、json.conf），避免修改主配置rsyslog.conf。
• 使用新语法：rsyslog v8+推荐使用新语法（module()、action()），更清晰易读。

5.4 性能优化#

• 禁用不必要的模块：仅加载需要的模块（如不使用UDP则不加载imudp）。
• 使用内存队列：非critical动作使用内存队列（LinkedList），提升性能。

6. 故障排查与常见问题解决#

6.1 基础排查步骤#

1. 检查服务状态：

   systemctl status rsyslog
   journalctl -u rsyslog  # 查看rsyslogd自身日志

2. 验证配置语法：

   rsyslogd -N1  # 检查配置文件语法错误

3. 检查端口监听：

   netstat -tuln | grep 514  # 确认TCP 514端口已监听

6.2 常见问题解决#

问题1：远程日志无法接收#

• 原因：防火墙未开放端口、IP白名单未配置、模块未加载。
• 解决：
  1. 检查服务器防火墙：firewall-cmd --list-ports。
  2. 确认imtcp模块已加载：rsyslogd -M | grep imtcp。
  3. 用tcpdump抓包验证：tcpdump -i eth0 port 514。

问题2：日志文件权限错误#

• 错误信息：Could not open output file '/var/log/remote/client.log': Permission denied。
• 解决：
  1. 创建日志目录：mkdir -p /var/log/remote。
  2. 设置目录权限：chown syslog:adm /var/log/remote（rsyslogd默认用户为syslog）。

问题3：模块未找到#

• 错误信息：module 'imtcp' not found。
• 解决：安装对应的模块包（如Debian/Ubuntu：apt install rsyslog-imtcp）。

7. 进阶话题：rsyslogd与现代日志生态#

rsyslogd可无缝对接现代日志工具，构建端到端日志系统：

7.1 对接ELK Stack#

ELK Stack（Elasticsearch + Logstash + Kibana）是常见的日志分析平台。rsyslogd可通过omelasticsearch模块直接将日志写入Elasticsearch，无需Logstash：

# 加载Elasticsearch模块
module(load="omelasticsearch")
 
# 定义Elasticsearch模板
$template ElasticTemplate,"{\"index\":\"syslog-%$year%-%$month%-%$day%\",\"type\":\"syslog\",\"@timestamp\":\"%timereported:::date-rfc3339%\",\"host\":\"%hostname%\",\"message\":\"%msg%\"}"
 
# 所有日志写入Elasticsearch
*.* action(type="omelasticsearch" server="localhost" serverport="9200" template="ElasticTemplate" dynSearchIndex="on")

7.2 对接Kafka#

Kafka是高吞吐量的消息队列，用于缓冲日志。rsyslogd通过omkafka模块将日志发送到Kafka：

# 加载Kafka模块
module(load="omkafka")
 
# 发送日志到Kafka主题syslog
*.* action(type="omkafka" broker="kafka01:9092" topic="syslog")

8. 总结#

rsyslogd是Linux系统中功能强大的日志守护进程，从本地日志管理到集中式日志系统，都能胜任。关键要点：

• 掌握Selector语法与模块配置，实现日志过滤与转发。
• 遵循最佳实践（TCP、持久化队列、TLS），保障日志可靠性与安全性。
• 利用模板实现结构化输出，对接现代日志生态（如ELK、Kafka）。

通过本文的讲解，你可以快速构建稳定、高效的日志系统，为系统运维与故障排查提供有力支持。

9. 参考资料#

1. rsyslog官方文档：https://www.rsyslog.com/documentation/
2. RFC 5424（现代syslog标准）：https://datatracker.ietf.org/doc/rfc5424/
3. Red Hat日志管理指南：https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/system_administrators_guide/ch-logging
4. logrotate手册：https://linux.die.net/man/8/logrotate