linux-Rsyslog自定义配置json模板

配置日志接收模板和转发

参考：https://www.cnblogs.com/xwupiaomiao/p/17565418.html

服务端（接收端）

自定义模板配置文件

在主配置文件中添加(rsyslog.conf)

include(file=“/etc/rsyslog.d/*.conf” mode=“optional”)

---

方案一

在/etc/rsyslog.d/下创建一个配置文件 ct3a1.conf

#日志模板  
#type类型有：list，subtree，string，plugin四种、list最常用，string也可以
#string="%jsonmesg%	 -->接收的日志转为json格式（系统自带）
template(name="tpl_remote" type="string"
string="%jsonmesg%\n"	
)
 
#日志规则设置、规则名(模板名)：remote 	
ruleset(name="remote"){
  #action动作：数据处理 -->type定义了处理数据所使用的模块	omfile模块、file=日志写入的文件路径
  action(type="omfile" file="/var/log/remote.log" template="tpl_remote") #接收的日志统一存储在/var/log/remote.log	\手动创建文件
  #type="omfwd":类型转发、将接收的日志（tpl_remote模板）转发到target=主机、port=端口、protocol=协议
  action(type="omfwd" target="192.168.1.100" port="10052" protocol="tcp" template="tpl_remote") #转发到主机192.168.1.100
 
  stop	#相当于&~：表示到这里就停不往下执行了，在老版本语法里写为“&~”
}
 
#开启端口监听
# udp 514
module(load="imudp") # needs to be done just once
input(type="imudp" port="514" ruleset="remote" )
 
# tcp 514
module(load="imtcp" MaxSessions="1000" )
input(type="imtcp" port="514" ruleset="remote" )
 
# relp 2514				#需要安装组件
module(load="imrelp")
input(type="imrelp" port="2514" ruleset="remote")
 

方案二：

接收指定ip过来的日志
这个日志模板再本机监听514和2514端口的报文、将接收的信息以json格式保存在/var/log/remote/%FROMHOST-IP%/%YEAR%-%MONTH%-%DAY%/%HOUR%-%MINUTE%.log

#日志类型模板  
#数据格式化：template（自定义路径/文件名也是这个）
#type类型有：list，subtree，string，plugin四种、list最常用，string也可以
#string="%jsonmesg%	 -->接收的日志转为json格式（系统自带）
template(name="tpl_remote" type="string"
string="%jsonmesg%\n"	
)
 
#定义日志路径模板：日志文件保存的路径名、注意 $ 不能少
$template DIRPATH, "/var/log/remote/%$FROMHOST-IP%/%$YEAR%-%$MONTH%-%$DAY%/%$HOUR%-%$MINUTE%.log"
 
#template前不能有注释
$template RSYSLOG, "/var/log/rsyslog/%$FROMHOST-IP%/%$YEAR%-%$MONTH%-%$DAY%/%$HOUR%-%$MINUTE%.log"
 
 
# 定义规则集
ruleset(name="remote") {
    # 只接收来自特定IP地址的日志
    if ($fromhost-ip == '192.168.1.10') then {
        # 接下来的动作只针对匹配的日志
        action(
        type="omfile"
        FileOwner="eapp"    #改变日志文件权限属主 
        FileGroup="eapp"    #改变日志文件权限属组
        FileCreateMode="0644" # 创建文件时的权限
        DirCreateMode="0755"  # 创建目录时的权限
        dynaFile="DIRPATH"	#日志文件路径、使用名为DIRPATH 的模板template 
        template="tpl_remote"
    	)
        # 如果需要，可以在这里添加其他动作，比如转发日志等
        # ...
    }
    # 如果不匹配，停止处理并丢弃或保存到其它目录
    else ｛
      action(
           type="omfile"
           FileOwner="eapp"    #改变日志文件权限属主 
           FileGroup="eapp"    #改变日志文件权限属组
           FileCreateMode="0644" # 创建文件时的权限
           DirCreateMode="0755"  # 创建目录时的权限
           dynaFile="RSYSLOG"	#日志文件路径、使用名为DIRPATH 的模板template 
           template="tpl_remote"
     )
｝
    
    stop
}
 
#开启端口监听
# udp 514
module(load="imudp") # needs to be done just once
input(type="imudp" port="514" ruleset="remote" )
 
# tcp 514
module(load="imtcp" MaxSessions="1000" )
input(type="imtcp" port="514" ruleset="remote" )
 
# relp 2514				#需要安装组件
module(load="imrelp")
input(type="imrelp" port="2514" ruleset="remote")

方案三：

接收全部

template(name="tpl_remote" type="string"
string="%jsonmesg%\n"
)
 
#日志文件保存的路径名、注意 $ 不能少
$template DIRPATH, "/var/log/remote/%$FROMHOST-IP%/%$YEAR%-%$MONTH%-%$DAY%/%$HOUR%-%$MINUTE%.log"
 
# 日志规则设置、规则名(模板名)：remote
ruleset(name="remote"){
    # action动作：数据处理 -->type定义了处理数据所使用的模块 omfile模块
    # 使用dynaFile特性来按分钟和日期切割日志文件
    action(
        type="omfile"
        FileOwner="eapp"    #改变日志文件权限属主 
        FileGroup="eapp"    #改变日志文件权限属组
        FileCreateMode="0644" # 创建文件时的权限
        DirCreateMode="0755"  # 创建目录时的权限
        dynaFile="DIRPATH"	#日志文件路径、使用名为DIRPATH 的模板template 
        template="tpl_remote"
    )
 
    # type="omfwd":类型转发、将接收的日志（tpl_remote模板）转发到target=主机、port=端口、protocol=协议
    #action(type="omfwd" target="127.0.0.1" port="10052" protocol="tcp" template="tpl_remote") # 转发到三区A网接收程序
 
    stop # 相当于&~：代表抛弃数据不进行下一步处理，在老版本语法里写为“&~”
}

---

---

客户端（发送端）

在/etc/rsyslog.d/下创建 clinet.conf配置文件
内容如下：

module(load="imfile" mode="inotify")
module(load="omrelp")
#下面这两行是配置日志文件转发到哪里的，主机搭建了tcp(514) udp(514) relp(2514) 三种接受日志的渠道。因为交换机目前只支持udp(514)，tcp(514)虽然可靠，但是官方说relp(2514)更可靠，不会丢失日志
*.* :omrelp:127.0.0.1:2514    #如不必要可注释
 
ruleset(name="forward_yxgk"){
  action(type="omrelp" target="192.168.1.100" port="2514")
  stop
}
 
# 审计日志
input(type="imfile"
      File="/var/log/audit/audit.log"
      Tag="audit"
      Ruleset="forward_yxgk") # 转发的主机、对应上面的ruleset(name="forward_yxgk")
 
 
 
# 示例关键日志文件1,可以多次配置
input(type="imfile" #不可修改
      File="/root/analog/logs/*"   #填写关键日志文件绝对路径
      Tag="testp1"        #填写日志的标签，随意，尽量具有一定意义.
      Severity="error"
      Ruleset="forward_yxgk") # 转发的主机