Linux syslog如何設置日志過濾規則

在Linux系統中，syslog是一個用于記錄系統消息的守護進程。要設置日志過濾規則，您可以使用rsyslog或syslog-ng這兩個常見的syslog實現。下面是針對這兩個實現的日志過濾規則設置方法：

1. 使用rsyslog設置日志過濾規則：

編輯rsyslog配置文件，通常位于/etc/rsyslog.conf或/etc/rsyslog.d/目錄下。使用文本編輯器打開配置文件，例如：

sudo nano /etc/rsyslog.conf

在配置文件中，您可以添加過濾規則。例如，如果您只想記錄來自特定IP地址的日志，可以使用以下規則：

if $fromhost-ip == '192.168.1.100' then /var/log/ip_192_168_1_100.log
& stop

這個規則表示，如果日志來自IP地址192.168.1.100，則將其記錄到/var/log/ip_192_168_1_100.log文件中，并停止進一步處理該日志。

您還可以根據其他屬性設置過濾規則，例如程序名、設施等。以下是一個更復雜的示例：

if $programname == 'nginx' and $syslogseverity-text == 'crit' then /var/log/nginx_crit.log
& stop

這個規則表示，如果日志來自名為nginx的程序，并且嚴重性級別為crit，則將其記錄到/var/log/nginx_crit.log文件中，并停止進一步處理該日志。

保存并關閉配置文件，然后重啟rsyslog服務以應用更改：

sudo systemctl restart rsyslog

2. 使用syslog-ng設置日志過濾規則：

編輯syslog-ng配置文件，通常位于/etc/syslog-ng/syslog-ng.conf。使用文本編輯器打開配置文件，例如：

sudo nano /etc/syslog-ng/syslog-ng.conf

在配置文件中，您可以添加過濾規則。例如，如果您只想記錄來自特定IP地址的日志，可以使用以下規則：

filter f_ip { ip(192.168.1.100); };
destination d_ip { file("/var/log/ip_192_168_1_100.log"); };
log { source(s_src); filter(f_ip); destination(d_ip); };

這個規則表示，如果日志來自IP地址192.168.1.100，則將其記錄到/var/log/ip_192_168_1_100.log文件中。

您還可以根據其他屬性設置過濾規則，例如程序名、設施等。以下是一個更復雜的示例：

filter f_nginx_crit { program("nginx") and level(crit); };
destination d_nginx_crit { file("/var/log/nginx_crit.log"); };
log { source(s_src); filter(f_nginx_crit); destination(d_nginx_crit); };

這個規則表示，如果日志來自名為nginx的程序，并且嚴重性級別為crit，則將其記錄到/var/log/nginx_crit.log文件中。

保存并關閉配置文件，然后重啟syslog-ng服務以應用更改：

sudo systemctl restart syslog-ng

這些示例僅用于演示如何設置日志過濾規則。您可以根據自己的需求調整規則。