Описание конфигурационного файла RSyslog, основные моменты.

Основной конфигурационный файлRSyslog расположен /etc/rsyslog.conf, дополнительные конфигурационные файлы для RSyslog расположены по пути /etc/rsyslog.d/ и имеют расширение *.conf . Дополнительные файлы включаются в основной конфигурационный файл в момент запуска сервиса и служат для выделения отдельных (независимых) задач из основного файла. Строки, начинающиеся с символа # и пустые строки игнорируются.
Демон RSyslog имеет модульную архитектуру, что позволяет гибко настроить демона под свои нужды. Модули подключаются директивой $ModLoad, конфигурационного файла. Основные моменты конфигурационного файла:

• $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat – использование стандартной точности временной отметки. Для высокоточных меток необходимо закомментировать эту диретиву.
• $FileOwner root – владелец создаваемых файлов;
• $FileGroup adm – группа владельца файлов;
• $FileCreateMode 0640 – разрешения создаваемых файлов;
• $IncludeConfig /etc/rsyslog.d/*.conf – подключение дополнительных конфигурационных файлов.
• imuxsock – модуль позволяет вести логирование локальной системы;
• imklog – модуль включает поддержку kernel logging (раньше использовался rklogd)
• immark – модуль позволяет использовать метки, поступающие через определенный интервал времени.
• imudp – модуль позволяет принимать syslog сообщения на заданном UDP порту (заменяет опцию -r при запуске демона), требуется конфигурация параметра $UDPServerRun, например:

$ModLoad imudp
$UDPServerRun 514

• imtcp – модуль позволяет принимать сообщения на указанном TCP порту (заменяет опцию -t при запуске демона), необходима конфигурация параметра $InputTCPServerRun:

$ModLoad imtcp
$InputTCPServerRun 514

• ommysql – модуль вывода в БД MySQL;
• ompgsql – модуль вывода в БД PostgresSQL;
• omlibdbi – модуль стандартного вывода в БД (Firebird/Interbase, MS SQL, Sybase, SQLLite, Ingres, Oracle, mSQL);

Конфигурационный файл rsyslog имеет определенную структуру, включающие определенные секции (желательно в приведенном порядке):

• Глобальные директивы (Global directives), устанавливающие свойства демона rsyslog, например максимальный размер очереди ($MainMessageQueueSize) или загрузка модулей ($ModLoad). Глобальные директивы должны быть однострочными и начинаться со знака доллара ($);
• Шаблоны (Templates) – позволяют задать формат формируемых сообщений при записи логов. Так же используются для динамической генерации имен. Должны быть определены до использования в правилах;
• Выходные каналы (Output channels) – служат оболочной для возможных вариантов вывода информации. Каналы должны быть определенны до их использования в правилах. Определяются директивой $outchannel, имеющей следующий синтаксис:
  $outchannel name,file-name,max-size,action-on-max-size
• Правила (Rules (selector + action)) – состоит из двух полей: поле селектора и поле действия. Поля разделяются одним или более пробелом или табуляцией.Поле селектора определяет образец основанный на facility.serverity.

Вот например образец конфигурационного файла , поставлявшийся с виртуальной машиной (Syslog appliance v0.4). Упомянутая виртуальная машина позволяет ознакомится на практике с возможностями RSyslog и phpLogCon, перед принятием решения о внедрении сервера централизованной обработки и хранения логов:

#  /etc/rsyslog.conf    Configuration file for rsyslog v3.
#
#                       For more information see
#                       /usr/share/doc/rsyslog-doc/html/rsyslog_conf.html
#################
#### MODULES ####
#################
$ModLoad imuxsock # provides support for local system logging
$ModLoad imklog   # provides kernel logging support (previously done by rklogd)
#$ModLoad immark  # provides --MARK-- message capability
# provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514
# provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514
###########################
#### GLOBAL DIRECTIVES ####
###########################
#
# Use default timestamp format.
# To enable high precision timestamps, comment out the following line.
#
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
#
# Set the default permissions for all log files.
#
$FileOwner root
$FileGroup adm
$FileCreateMode 0640
#
# Include all config files in /etc/rsyslog.d/
#
$IncludeConfig /etc/rsyslog.d/*.conf
###############
#### RULES ####
###############
#
# First some standard log files.  Log by facility.
#
auth,authpriv.*                 /var/log/auth.log
*.*;auth,authpriv.none          -/var/log/syslog
#cron.*                         /var/log/cron.log
daemon.*                        -/var/log/daemon.log
kern.*                          -/var/log/kern.log
lpr.*                           -/var/log/lpr.log
mail.*                          -/var/log/mail.log
user.*                          -/var/log/user.log
#
# Logging for the mail system.  Split it up so that
# it is easy to write scripts to parse these files.
#
mail.info                       -/var/log/mail.info
mail.warn                       -/var/log/mail.warn
mail.err                        /var/log/mail.err
#
# Logging for INN news system.
#
news.crit                       /var/log/news/news.crit
news.err                        /var/log/news/news.err
news.notice                     -/var/log/news/news.notice
#
# Some "catch-all" log files.
#
*.=debug;\
auth,authpriv.none;\
news.none;mail.none     -/var/log/debug
*.=info;*.=notice;*.=warn;\
auth,authpriv.none;\
cron,daemon.none;\
mail,news.none          -/var/log/messages
#
# Emergencies are sent to everybody logged in.
#
*.emerg                         *
#
# I like to have messages displayed on the console, but only on a virtual
# console I usually leave idle.
#
#daemon,mail.*;\
#       news.=crit;news.=err;news.=notice;\
#       *.=debug;*.=info;\
#       *.=notice;*.=warn       /dev/tty8
# The named pipe /dev/xconsole is for the 'xconsole' utility.  To use it,
# you must invoke 'xconsole' with the '-file' option:
#
#    $ xconsole -file /dev/xconsole [...]
#
# NOTE: adjust the list below, or you'll go crazy if you have a reasonably
#      busy site..
#
daemon.*;mail.*;\
news.err;\
*.=debug;*.=info;\
*.=notice;*.=warn       |/dev/xconsole
local7.*    /var/log/switches.log