■日志出力格式
日志设备 连接符 日志级别 执行动作
日志设备(可以理解为日志类型facility):
auth –pam产生的日志
authpriv –ssh,ftp等登录信息的验证信息
cron –时间任务相关
kern –内核
lpr –打印
mail –邮件
mark(syslog)–rsyslog服务内部的信息,时间标识
news –新闻组
user –用户程序产生的相关信息
uucp –unix to unix copy, unix主机之间相关的通讯
local 1~7 –自定义的日志设备
日志级别（level）：
debug –有调式信息的，日志信息最多
info –一般信息的日志，最常用
notice –最具有重要性的普通条件的信息
warning –警告级别
err –错误级别，阻止某个功能或者模块不能正常工作的信息
crit –严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert –需要立刻修改的信息
emerg –内核崩溃等严重信息
none –什么都不记录
从上到下，级别从低到高，记录的信息越来越少
facility和level之间的连接符：
.xxx: 表示大于等于xxx级别的信息
.=xxx：表示等于xxx级别的信息
.!xxx：表示在xxx之外的等级的信息
执行动作：
1. 记录到普通文件或设备文件
*.* /var/log/file.log # 绝对路径
*.* /dev/pts/0
2. 转发到远程
*.* @192.168.0.1 # 使用UDP协议转发到192.168.0.1的514(默认)端口
*.* @@192.168.0.1 # 使用TCP协议转发到192.168.0.1的514(默认)端口
3. 发送给用户(需要在线才能收到)
*.* root
*.* root,kadefor,up01 # 使用,号分隔多个用户
*.* * # *号表示所有在线用户
4. 忽略,丢弃
local3.* ~ # 忽略所有local3类型的所有级别的日志
5. 执行脚本
local3.* ^/tmp/a.sh # ^号后跟可执行脚本或程序的绝对路径
# 日志内容可以作为脚本的第一个参数.
# 可用来触发报警
.. note::
日志记录的顺序有先后关系!
标准的简单的rsyslog配置
*.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv.* /var/log/secure
mail.* /var/log/maillog
cron.* /var/log/cron
*.emerg *
uucp,news.crit /var/log/spooler
local7.* /var/log/boot.log
■关于Logger命令
通过Logger命令来测试，logger是一个shell命令接口，可以通过该接口使用Syslog的系统日志模块，
还可以从命令行直接向系统日志文件写入一行信息。
logger [options] [messages]
**options (选项)：**
-d, --udp
使用数据报(UDP)而不是使用默认的流连接(TCP)
-i, --id
逐行记录每一次logger的进程ID
-f, --file file_name
记录特定的文件
-h, --help
显示帮助文本并退出
-n， --server
写入指定的远程syslog服务器，使用UDP代替内装式syslog的例程
-P， --port port_num
使用指定的UDP端口。默认的端口号是514
-p， --priority priority_level
指定输入消息的优先级，优先级可以是数字或者指定为 "facility.level" 的格式。比如："-p local3.info " local3 这个设备的消息级别为info。默认级别是 "user.notice"
-s， --stderr
输出标准错误到系统日志。
-t， --tag tag
指定标记记录
-u， --socket socket
写入指定的socket，而不是到内置系统日志例程。
-V, --version
现实版本信息并退出
**messages：**写入log文件的内容消息，可以与-f配合使用。
logger 以0退出表示成功，大于0表示失败。
■学习验证
案例1：自定义的日志信息是不是按照预想，生成的日志被保存到了指定的文件。
1.修改/etc/rsyslog.conf
最后一行，追加local3.=info /var/log/test.log
2.systemctl restart rsyslog
3.logger -i -p local3.info "abc test abc"
4.结果在/var/log/test.log和/var/log/messages里都可以看到Sep 20 16:20:53 test root[13091]: abc test abc
5.再次修改/etc/rsyslog.conf
*.info;mail.none;authpriv.none;cron.none；local3.none /var/log/messages
6.systemctl restart rsyslog
7.logger -i -t "mytest" -p local3.info "abc test abc"
8.最后只在/var/log/test.log里生成Sep 20 17:47:18 test mytest[13241]: abc test abc
案例2：过滤特定的日志到文件, 忽略(丢弃)包含某个字符串的日志
# 过滤日志, 由:号开头
:msg, contains, “error” /var/log/error.log
:msg, contains, “error” ~ # 忽略包含error的日志
:msg, contains, “user nagios” ~
local3.* ~
过滤的定义需要特别注意，如下：
/*****************1*********************/
:msg,contains,"filtertest" /var/log/filtertest.log
*.info;mail.none;authpriv.none;cron.none；local3.none /var/log/messages
/*****************2*********************/
*.info;mail.none;authpriv.none;cron.none；local3.none /var/log/messages
:msg,contains,"filtertest" /var/log/filtertest.log
/*****************3*********************/
*.info;mail.none;authpriv.none;cron.none；local3.none /var/log/messages
:msg,contains,"filtertest" /var/log/filtertest.log
& ~
当以这样的顺序定义时，包含filtertest的日志既会在/var/log/filtertest.log里生成，也会在/var/log/messages里生成，那么如何只会在/var/log/filtertest.log里生成呢？
必须以下面的顺序来定义，然后& ~必须要加，它的意思就是上面的规则使用完后，就丢弃，下面的即使符合要求，也不再适用。
:msg,contains,"filtertest" /var/log/filtertest.log
& ~
*.info;mail.none;authpriv.none;cron.none；local3.none /var/log/messages
案例3：使用模板来定义日志格式
定义默认的日志格式:
-
$template myFormat,”%rawmsg%\n”
-
$ActionFileDefaultTemplate myFormat
-
#如果不要$ActionFileDefaultTemplate myFormat这一行, 就需要像这样来使用模板:
-
#在日志文件后添加模板名, 并用;号分隔
-
$template myFormat,”%rawmsg%\n”
-
# The authpriv file has restricted access.
-
authpriv.* /var/log/secure;myFormat
-
# Log all the mail messages in one place.
-
mail.* /var/log/maillog;myFormat
-
# Log cron stuff
-
cron.* /var/log/cron;myFormat
-
# Everybody gets emergency messages
-
*.emerg *
-
# Save news errors of level crit and higher in a special file.
-
uucp,news.crit /var/log/spooler;myFormat
-
# Save boot messages also to boot.log
-
local7.* /var/log/boot.log;myFormat
rsyslog.conf中默认的定义为$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat，模板 RSYSLOG_TraditionalFileFormat 为rsyslog默认保留模板，
所以不用定义，直接使用，但是如果希望使用自己定义的模板，那么就如第一行所示$template myFormat,”%rawmsg%\n” 定义模板，并且默认状况下希望所有的规则
默认使用自定义的规则，那么就是第二行的定义$ActionFileDefaultTemplate myFormat，如果只是希望某一个规则使用自定义的模板，那就不需要第二行，
而是如第7行所示authpriv.* /var/log/secure;myFormat ，定义规则的时候指定所要使用的模板。
案例4：日志的远程发送与接收1
客户端配置
末尾添加下面的配置，这里的意思就是根据所需，将日志转送给服务器
*.info;mail.none;authpriv.none;cron.none /var/log/messages
# The authpriv file has restricted access.
authpriv.* /var/log/secure
# Log all the mail messages in one place.
mail.* /var/log/maillog
# Log cron stuff
cron.* /var/log/cron
# Everybody gets emergency messages
*.emerg *
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
local7.* /var/log/boot.log
local3.* @192.168.100.96 # UDP使用了默认的514端口，服务器IP：192.168.100.96
或者
local3.* @@192.168.100.96 # TCP使用了默认的514端口，服务器IP：192.168.100.96
服务器端配置
$modload imtcp
$InputTCPServerRun 514
# for UDP use:
$modload imudp
$UDPServerRun 514
# Log anything (except mail) of level info or higher.
# Don’t log private authentication messages!
*.info;mail.none;authpriv.none;cron.none /var/log/messages
# The authpriv file has restricted access.
authpriv.* /var/log/secure
# Log all the mail messages in one place.
mail.* /var/log/maillog
# Log cron stuff
cron.* /var/log/cron
# Everybody gets emergency messages
*.emerg *
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
local7.* /var/log/boot.log
local3.* /var/log/local3.log # 测试用
执行命令：logger -i -t "mytest" -p local3.info "11111111111"
这样配置的话，会产生很多很多个这样的信息2017-09-21T19:49:50+09:00 test mytest[15734]: 11111111111
客户端：/var/log/messages
服务器端：/var/log/messages，/var/log/local3.log
所以如果仅仅希望日志生成在服务器端的/var/log/local3.log文件里需要修改配置，参考案例1，将客户端，服务器两侧作如下修改：
*.info;mail.none;authpriv.none;cron.none；local3.none /var/log/messages
案例5：日志的远程发送和接收2
服务器端
vi /etc/rsyslog.conf #在文件开始加上，同时确保514端口能够被客户端用tcp访问
$ModLoad imtcp.so # needs to be done just once #使用tcp方式
$InputTCPMaxSessions 500 # tcp接收连接数为500个
$InputTCPServerRun 514 # tcp接收信息的端口
$template logformat,”%TIMESTAMP:::date-mysql% %FROMHOST-IP%%msg%\n” # 定义一个名为logformat模板, 为信息加上日志时间
$template DynFile,”/var/log/tlog%$year%%$month%%$day%.log” # 定义日志文件的名称，按照年月日
:rawmsg, contains, “sdns_log” ?DynFile;logformat # 把rawmsg(也可以使用msg)日志中包含sdns_log标志的信息写到DynFile定义的日志文件里
:rawmsg, contains, “sdns_log” ~ # 这个表示丢弃包含sdns_log标志的信息, 一般都加上它, 以免多个日志文件记录重复的日志，这句话也可以写成& ~
如果要把来自不同ip的消息保存到不同的文件里，怎么搞？
:fromhost-ip, isequal, “192.168.0.160″ /var/log/host160.log
:FROMHOST-IP, isequal, “192.168.0.161″ /var/log/host161.log
:FROMHOST-IP, startswith, “192.168.1.” /var/log/network1.log
:FROMHOST-IP, startswith, “192.168.2.” /var/log/network2.log
这里的意思就是先定义一个模版，该模版的日志都存放在/var/log/hosts目录下，并且以各自的主机名命名，
然后将分别来自不同结点的日志以模版里定义的形式保存。
$template RemoteHost,"/var/log/hosts/%HOSTNAME%.log"
:fromhost-ip, !isequal, "127.0.0.1" -?RemoteHost
& ~
当然也可以根据自己的需求来保存需要保存的日志，如仅仅保留192.168.128.254这个结点过来的日志
:fromhost-ip, isequal, "192.168.128.254" -/var/log/messages-192.168.128.254.log
& ~
还通过匹配日志内容将日志保存到指定的文件。
:msg, startswith, "" ## Firewalld LOGGED ## "" -/var/log/firewalld-denied.log
& ~
客户端
vi /etc/rsyslog.conf #在文件开始加上
#把包含sdns_log的信息通过tcp发到192.168.1.2 @@表示tcp @表示udp
:rawmsg, contains, “sdns_log” @@192.168.1.2 # 默认514端口
#这个表示丢弃包含sdns_log标志的信息,防止这个信息写到本机的/var/log/message
:rawmsg, contains, “sdns_log” ~
#或者
& ~