跟我学Rsyslog

在数据为王的时代,日志管理是一个绕不开的话题,相应的开源软件有不少,比如热门的三件套:LogstashElasticSearchKibana,可惜我对这些高大上的东西往往心存敬畏,不敢轻易触碰,相比较而言,我更喜欢能够快速上手的东西。

对于日志管理,老版本的Linux缺省使用Syslog,其配置大致如下所示:

shell> cat /etc/syslog.conf

# Log all kernel messages to the console.
# Logging much else clutters up the screen.
# kern.* /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none /var/log/messages

# The authpriv file has restricted access.
authpriv.* /var/log/secure

# Log all the mail messages in one place.
mail.* -/var/log/maillog

# Log cron stuff
cron.* /var/log/cron

# Everybody gets emergency messages
*.emerg *

# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler

# Save boot messages also to boot.log
local7.* /var/log/boot.log

其中涉及两个概念:FacilitySeverity,中文的意思大致是类型和级别。重点说明两条配置的含义:首先,所有Severity大于等于info的信息都会被保存到「/var/log/messages」中,但是Facility为mail、authpriv、cron的消息例外;其次,所有Facility为mail的消息都会保存到「/var/log/maillog」中,日志文件前面的减号表示的意思是异步写文件。

关于Syslog的内容我并不想多说,否则就偏离了主题,大家如果有不清楚的地方,可以参考鸟哥的Linux私房菜。虽然Syslog中规中矩,但是随着时间的推移,无论是功能还是性能,它都显得捉襟见肘,于是出现了:RsyslogSyslog-ng,它们都涵盖SysLog的常用功能,不过在功能和性能上更为出色,至于孰优孰劣是个仁者见仁智者见智的问题,鉴于多数Linux发行版均选择了Rsyslog,姑且让我随波逐流一次。

如果说Rsyslog有哪些缺点的话,那么兼容性无疑是很显眼的一个,不同版本之间的差异比较大,使用时需要格外留意一下。在使用前最好完整的浏览几遍官方文档,此外网络上有一些不错的文章可供参考,比如:rsyslog研究rsyslog和logrotate服务,核心概念在这些资料里都有提及,本文就不赘述了,这里着重与快速上手。

安装配置

我以CentOS为例,说明如何通过RPM来安装Rsyslog:

shell> cd /etc/yum.repos.d/
shell> wget http://rpms.adiscon.com/v8-stable/rsyslog.repo
shell> yum install rsyslog

安装完成后,我们可以查看一下到底都装了些什么东西:

shell> rpm -ql rsyslog

/etc/logrotate.d/syslog
/etc/pki/rsyslog
/etc/rc.d/init.d/rsyslog
/etc/rsyslog.conf
/etc/rsyslog.d
/etc/sysconfig/rsyslog
...

如果系统里有Syslog的话,那么在启动Rsyslog之前,别忘了先关闭它:

shell> service syslog stop
shell> service rsyslog start

如果运行Rsyslog时出现问题,那么可以通过激活调试模式来查找原因:

shell> cat /etc/sysconfig/rsyslog 

# Options for rsyslogd
# Syslogd options are deprecated since rsyslog v3.
# If you want to use them, switch to compatibility mode 2 by "-c 2"
# See rsyslogd(8) for more details
SYSLOGD_OPTIONS="-d -n"

如果你想测试Rsyslog是否工作的话,可以通过系统内建的logger命令发消息;如果你想测试Rsyslog性能如何的话,可以考虑使用官方提供的tcpflood

实例演示

在我们动手之前,有必要了解一下Rsyslog的工作流程,说起来非常简单:首先数据通过输入模块进入主队列,然后经由过滤条件分解到各个子队列,最后交给输出模块

理解了Rsyslog的工作流程,我们就可以实例演示了,请听题:请把多台Web服务器上的access日志发送到统一的App服务器。实际上新版Nginx可以直接发Syslog请求。

设置Web服务器:

module(load="imfile")

ruleset(name="remote") {
    action(type="omfwd"
        Protocol="tcp"
        Target="<HOST>"
        Port="<PORT>")

    stop
}

input(type="imfile"
    File="/path/to/web/access.log"
    Facility="user"
    Severity="info"
    Tag="web_access"
    PersistStateInterval="1"
    Ruleset="remote")

通过imfile输入模块,我们引入文件,并且绑定Ruleset。不过需要说明的是,需要通过配置WorkDirectory来声明状态文件的保存位置,这个状态文件被用来记录扫描日志位置等信息,PersistStateInterval被用来控制状态文件的持久化频率,测试阶段,可以把它设置的小点儿,正式阶段,出于效率的考虑,可以把它调大点儿,但是相应的也会出现丢失数据的潜在风险,具体设置多少合适需要结合自己的情况来斟酌。

设置App服务器:

module(load="imtcp")

template(name="msg" type="string" string="%msg:2:$%\n")

ruleset(name="analysis") {
    action(type="omfile"
        File="/path/to/access.log"
        Template="msg")

    stop
}

input(type="imtcp"
    Port="<PORT>"
    Ruleset="analysis")

通过omfile输出模块可以简单的实现汇总,利用Template指令定义仅记录msg数据,此外还使用Property Replacer去除了msg开头的空格。

如果仅此而已就太无趣了,实际上利用omprog输出模块,我们可以玩得更出彩:

module(load="omprog")

ruleset(name="analysis") {
    action(type="omprog"
        Binary="/usr/bin/php /path/to/script.php"
        Template="msg")

    stop
}

数据通过管道无缝传递给外部程序,可以说赋予了Rsyslog更多的可能性,你可以使用任何熟悉的语言来实现,以PHP为例,大致代码如下所示:

<?php

while (($data = fgets(STDIN)) !== false) {
    // ...
}

?>

一个需要注意的地方是,如果循环里的业务逻辑比较重,那么可能会导致拥堵,此时可以考虑不直接在循环里处理业务逻辑,而是稍作处理,直接转发给 Gearman 之类的任务分发器,稍后有 Gearman 把任务分发给相应的 Worker 来处理。

友情提示:如果主配置文件太臃肿的话,可以考虑使用子配置文件:

# Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d/*.conf

本文可以看作是Rsyslog入门指引,深入介绍可以参考香草的总结

5 thoughts on “跟我学Rsyslog

  1. 想请问下,我的rsyslog是8.12.0,升级版本主要是为了使用通配符;但现在遇到了一个问题,client和server都配好后,日志的采集都是正常的,但过了一两天后服务端就没有日志显示了,而client却一直在更新日志,请问这是什么原因??我的日志采集端收集的tomcat的日志是每天自动切割的,这也是我一直怀疑的原因,是不是因为tomcat日志自动切割,导致rsyslog的statefile停止记录的了???请指教!

  2. 香草的 blog 挂了,这里有篇转载,可以看全文:http://www.tsingfun.com/html/2015/dev_1123/high_performance_rsyslogd.html

  3. 博主您好,文中的博文 (rsyslog和logrotate服务)[http://w.gdu.me/wiki/Linux/rsyslog_logrotate.html] 已经失效,原域名正在出售,要不要修改或删去?

Tao Pan进行回复 取消回复

电子邮件地址不会被公开。 必填项已用*标注