CentOS 8下配置rsyslog集中式日志服务器指南

1. 为什么需要集中式 Syslog 服务器

在运维工作中，日志就像系统的"黑匣子"，记录了所有关键事件和异常情况。当你有几十台甚至上百台服务器时，如果每台都要单独登录查看日志，效率会非常低下。想象一下，当系统出现问题时，你需要挨个SSH连接到每台机器上查看/var/log/messages，这简直就是运维人员的噩梦。

集中式日志采集解决了几个核心痛点：

• 统一存储：所有设备的日志都汇总到一处，不再需要逐台登录查看
• 关联分析：可以跨设备分析日志事件，比如追踪一个请求在整个系统中的流转
• 长期归档：重要日志可以集中备份，避免单机日志被轮转覆盖
• 安全审计：所有操作记录集中存储，避免被篡改

2. 环境准备与基础检查

2.1 系统要求确认

在开始配置前，建议确认你的CentOS版本。虽然rsyslog在CentOS 6/7/8上都可用，但配置方式有些差异。本文以CentOS 8为例，但会注明其他版本的注意事项。

bash复制# 查看系统版本
cat /etc/redhat-release

2.2 rsyslog服务状态检查

rsyslog在CentOS 8中是默认安装的，但最好先确认：

bash复制systemctl status rsyslog

如果看到"Active: active (running)"，说明服务已在运行。如果没有安装，使用以下命令安装：

bash复制dnf install rsyslog  # CentOS 8
yum install rsyslog  # CentOS 7

注意：CentOS 8开始用dnf替代yum，但yum命令仍然可用，实际是dnf的别名

3. 配置rsyslog服务器

3.1 基本网络配置

编辑主配置文件：

bash复制vi /etc/rsyslog.conf

找到以下部分并取消注释（删除行首的#）：

config复制# 启用UDP模块
module(load="imudp")
input(type="imudp" port="514")

# 启用TCP模块 
module(load="imtcp")
input(type="imtcp" port="514")

专业建议：生产环境建议使用TCP，因为UDP可能会丢包。但UDP性能更好，适合日志量大的场景

3.2 端口与防火墙配置

514是syslog标准端口，但也可以改用其他端口（如10514）增强安全性：

bash复制# 开放防火墙端口
firewall-cmd --add-port=514/tcp --permanent
firewall-cmd --add-port=514/udp --permanent
firewall-cmd --reload

验证端口监听状态：

bash复制netstat -tulnp | grep 514

应该能看到rsyslog在监听TCP和UDP的514端口。

4. 日志存储与分类配置

4.1 按来源设备分离日志

默认所有日志都混在/var/log/messages中，我们可以按发送方主机名分类存储：

config复制# 在/etc/rsyslog.conf末尾添加
$template RemoteLogs,"/var/log/remote/%HOSTNAME%/messages.log"
*.* ?RemoteLogs

这样每台客户端发来的日志都会存储在/var/log/remote/客户端主机名/目录下。

4.2 日志轮转配置

编辑logrotate配置：

bash复制vi /etc/logrotate.d/remote-logs

添加以下内容：

config复制/var/log/remote/*/*.log {
    daily
    missingok
    rotate 30
    compress
    delaycompress
    sharedscripts
    postrotate
        /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true
    endscript
}

这会对远程日志进行每日轮转，保留30天，并启用压缩。

5. 客户端配置示例

5.1 Linux客户端配置

在客户端机器上编辑/etc/rsyslog.conf，添加：

config复制*.* @@192.168.1.100:514  # TCP方式
*.* @192.168.1.100:514   # UDP方式

然后重启服务：

bash复制systemctl restart rsyslog

5.2 网络设备配置示例

对于思科设备：

cisco复制logging host 192.168.1.100
logging trap informational

华为设备：

huawei复制info-center