日志服务 采集 Syslog

一、前提条件

·开通腾讯云日志服务。

·在目标 IP 的机器上已安装好 LogListener 3.5.0及以上版本。你可参考 LogListener 新架构安装升级指南安装最新版本。

·请确保密钥关联的账号具有相应的采集 Syslog 权限。

二、步骤1：选择日志主题

创建新的日志主题使用现有的日志主题1. 登录日志服务控制台。2. 在左侧导航栏中，单击概览，进入概览页面。3. 在快速接入 > 服务器及应用中，找到并单击 SYSLOG 采集。4. 在创建日志主题页面，根据实际需求，输入日志主题名称，配置日志保存时间等信息，单击下一步。1. 登录日志服务控制台。2. 在左侧导航栏中，单击日志主题，选择需要投递的日志主题，进入日志主题管理页面。3. 选择采集配置页签，在 LogListener 采集配置栏下单击新增，在列表中找到 SYSLOG 采集。

三、步骤2：机器组配置

在机器组管理页面，勾选需要与当前日志主题进行绑定的机器组，单击下一步，即可进入采集配置阶段，更多详情请参见管理机器组。

四、步骤3：Syslog 采集配置

在 Syslog 采集配置页面，依次配置如下信息：

配置项	类型	说明
采集规则名称	输入框	输入本条采集规则的名称。
网络类型	单选框	指定 Syslog 的传输协议，UDP/TCP。
解析协议	单选框	指定解析日志所使用的协议，默认为空，表示不解析。其中：rfc3164：指定使用 RFC3164协议解析日志。rfc5424：指定使用 RFC5424协议解析日志。auto：自动选择合适的解析协议。
监听地址	输入框	指定的 Syslog 转发地址和端口，格式为 [ip]:[port]。采集本地机器场景：配置转发地址为127.0.0.1，端口为任意非知名的空闲端口，例如127.0.0.1:9000。跨主机采集场景：如你通过 Syslog 转发，可参见 rsyslog 转发配置。
解析失败上传	开关	指定解析失败后的操作，打开时表示如果解析失败，按照输入的 key 返回日志全文。配置为 false，表示解析失败时丢弃日志。
解析失败日志的键名称(Key)	输入框	指定解析失败的 key 名。

五、步骤4：索引配置

1. 在索引配置页面，配置如下信息。配置详情请参考索引配置。

2. 单击提交，完成导入配置。

六、查看 Syslog 日志

当前日志主题下配置完 Syslog 采集后，单击检索，进入该主题检索分析页面查看 Syslog。

七、日志字段解释

字段	说明
HOSTNAME	主机名，如果日志中未提供则获取当前主机名。
program	协议中的 tag 字段。
priority	协议中的 priority 字段。
facility	协议中的 facility 字段。
severity	协议中的 severity 字段。
timestamp	日志对应的时间戳。
content	日志内容，如果解析失败的话，此字段包含未解析日志的所有内容。
SOURCE	当前主机的 IP 地址。
client_ip	传输日志的客户端 IP 地址。

八、使用 rsyslog 转发

如你需要使用 rsyslog 转发（支持跨主机采集场景），可按照如下流程配置即可：

·在 Syslog 所在的服务器上修改 rsyslog 的配置文件 /etc/rsyslog.conf，在配置文件的最后添加一行转发规则。添加转发规则后，rsyslog 会将 Syslog 转发至指定 IP 地址和端口上。

·如果通过当前服务器采集本机 Syslog，配置转发地址为127.0.0.1，端口为任意非知名的空闲端口。

·如果通过其他服务器采集本机 Syslog，配置转发地址为其他服务器的公网 IP，端口为任意非知名的空闲端口。

例如以下配置表示将所有的日志都通过 TCP 转发至127.0.0.1:1000，配置文件详细说明请参见 rsyslog Documentation。

*.* @@127.0.0.1:1000

执行以下命令重启 rsyslog，使日志转发规则生效。

sudo service rsyslog restart

后续在配置采集配置时，监听地址中填写 rsyslog 的配置文件中指定的 Syslog 转发地址和端口。