初学者 Syslog 配置指南

Syslog 配置构成了强大 日志管理 和 网络监控 的基础。通过提供标准化的方法来捕获、存储和分析关键系统事件，它作为您的基础设施的中枢神经系统，揭示性能问题、安全威胁和运营故障。

这本全面的初学者指南将 syslog 配置分解为可管理的步骤，配有适用于各种操作系统和设备的实用示例。无论您是在设置本地日志、配置远程日志转发，还是使用 TLS 加密 保护 syslog，您都能在这里找到完整的工作流程。

了解 syslog 配置文件

Syslog 的行为完全由其配置文件控制。这些文件作为日志系统的规则手册，决定消息如何分类、处理、存储和转发。

配置文件控制内容：

• 接收并处理传入的日志消息
• 根据 facility（来源类型）和 severity（优先级）对消息进行分类
• 决定哪些消息本地存储、远程转发或丢弃
• 使用可定制模板格式化日志条目
• 启用通信 协议（UDP、TCP 或用于加密的 TLS）
• 通过消息排队和缓冲管理系统性能

虽然存在不同的实现（rsyslog、syslog-ng、传统 syslogd），但它们都遵循相同的概念结构。掌握配置文件可让您为 集中分析 自定义整个日志工作流程。

配置文件结构

典型的 syslog 配置文件包含以下逻辑部分：

• 全局指令： 系统范围的设置，如队列大小、超时和文件权限
• 模块： 可加载组件，扩展功能（加密、数据库输出等）
• 规则： 过滤和路由指令（对初学者最重要的部分）
• 模板： 控制日志消息显示格式的定义

定位 syslog 配置文件

知道配置文件的位置对于修改日志行为、启用远程转发或排查问题至关重要。

基本 syslog 配置语法

理解 syslog 语法对于创建有效的日志规则至关重要。虽然不同实现的高级功能有所差异，但核心语法在各系统间通用。

所有 syslog 规则遵循以下基本模式：

facility.severity    destination

设施

设施按日志消息的来源进行分类，帮助管理员将特定类型的系统事件路由到相应的日志文件或操作。

严重性级别

严重性级别以数字（0-7）定义日志消息的紧急程度，便于在故障排除时筛选关键警报与常规信息。

选择器

选择器结合设施和严重性级别，使用运算符创建精确的筛选规则，实现针对 日志收集、噪声减少和高级匹配。

操作

操作指定过滤日志消息的目标，支持本地存储、远程转发、用户通知和程序处理，实现全面的日志策略。

语法示例

平台特定的 syslog 设置

Syslog 在 Linux、Windows 和网络设备上的行为不同。理解这些平台特定的差异对于一致的日志收集至关重要。

Linux (rsyslog)：逐步配置

步骤 1： 打开配置文件

sudo nano /etc/rsyslog.conf

步骤 2： 启用网络模块

module(load="imudp")
input(type="imudp" port="514")
module(load="imtcp")
input(type="imtcp" port="514")

步骤 3： 根据需要添加规则、过滤器或模板

示例： 将所有日志转发到远程 syslog 服务器

*.* @@192.168.1.100:514

步骤 4： 验证配置（重启前）

检查配置语法错误

sudo rsyslogd -N1

如果没有错误，继续重启；如果发现错误，请修正并重新验证。

步骤 5： 重启服务

sudo systemctl restart rsyslog

步骤 6： 验证服务是否正在运行

sudo systemctl status rsyslog

Windows：代理设置

Windows 缺乏原生 syslog 支持，需要第三方代理：

• NXLog 社区版/企业版：
  复制

  Configure C:\Program Files\NXLog\conf\nxlog.conf

• Snare 代理：
  复制

  Edit C:\Program Files\Snare\snare.conf

• Syslog-NG 代理： 通过代理界面配置

典型设置包括 syslog 服务器 IP、设施映射、日志格式（RFC 3164/5424）和传输协议（UDP/TCP/TLS）。

网络设备：厂商示例

一旦所有平台配置完成 syslog，您的环境即可支持集中式日志和 SIEM 集成。

远程日志记录设置

远程日志对于集中式日志管理、合规、审计和 SIEM 操作至关重要。本节涵盖完整工作流程：客户端配置、服务器配置、开放防火墙端口及 TLS 加密。

客户端示例（rsyslog）

将所有日志发送到中央syslog服务器：

UDP（快速，无交付保证）：

*.* @192.168.1.10:514

TCP（可靠交付）：

*.* @@192.168.1.10:514

服务器端示例（rsyslog）

启用syslog服务器监听：

module(load="imudp")
input(type="imudp" port="514")

module(load="imtcp")
input(type="imtcp" port="514")

远程日志记录最佳实践

• 使用TCP以确保可靠性
• 使用TLS（端口6514）以确保安全
• 使用facility代码分段流量
• 启用队列以处理网络中断

为syslog开放防火墙端口

发送到您的syslog服务器的网络流量必须由firewall明确允许。请选择适合您的Linux发行版的方法：

firewalld（RHEL/CentOS/Fedora）

步骤1： 允许标准syslog端口（UDP和TCP）

sudo firewall-cmd --permanent --add-port=514/udp
sudo firewall-cmd --permanent --add-port=514/tcp

步骤2： 允许TLS syslog端口

sudo firewall-cmd --permanent --add-port=6514/tcp

步骤3： 重新加载防火墙规则

sudo firewall-cmd --reload

步骤4： 验证端口是否已打开

sudo firewall-cmd --list-ports

预期输出：514/udp 514/tcp 6514/tcp

UFW（Ubuntu/Debian）

步骤1： 允许标准syslog端口（UDP和TCP）

sudo ufw allow 514/udp
sudo ufw allow 514/tcp

步骤2： 允许TLS syslog端口

sudo ufw allow 6514/tcp

步骤3： 验证规则是否生效

sudo ufw status

iptables（传统系统）

步骤1： 允许syslog UDP流量

sudo iptables -A INPUT -p udp --dport 514 -j ACCEPT

步骤2： 允许syslog TCP流量

sudo iptables -A INPUT -p tcp --dport 514 -j ACCEPT

步骤3： 允许TLS syslog流量

sudo iptables -A INPUT -p tcp --dport 6514 -j ACCEPT

步骤4： 保存规则（CentOS/RHEL）

sudo service iptables save

步骤5： 验证规则是否生效

sudo iptables -L -n | grep 514

测试防火墙访问：

开放端口后，验证syslog是否能连接到您的服务器：

# Test from client machine
nc -vzu <syslog-server-ip> 514     # UDP test
nc -vz <syslog-server-ip> 514      # TCP test
nc -vz <syslog-server-ip> 6514     # TLS test

结果解读：

测试成功将返回连接消息。具体措辞取决于您的netcat版本：

• nmap-ncat或更新的gnu-netcat： 您将看到 Connection to port <514|6514> [tcp|udp/*] succeeded!
• 较旧的gnu-netcat（Linux常见）： 您将看到 Connection to port [tcp|udp/*] succeeded!
• BSD netcat（macOS常见）： 对于TCP，命令将静默退出（退出码为0）。对于UDP（-u），可能不会提供明确反馈。

测试失败通常会返回错误，如 Connection refused、No route to host 或 Timed out，且命令会挂起，直到您中断它（Ctrl+C）。

配置TLS加密的syslog（rsyslog）

在生产环境中，TLS加密可保护传输中的敏感日志数据。以下是在服务器和客户端配置安全syslog的方法。

服务器端（接收安全日志）：

步骤 1： 打开配置文件

sudo nano /etc/rsyslog.conf

步骤2： 加载安全输入模块：

module(load="imtcp" StreamDriver.Name="gtls" 
       StreamDriver.Mode="1" 
       StreamDriver.AuthMode="anon")

步骤3： 监听端口6514（标准TLS syslog端口）

input(type="imtcp" port="6514")

步骤 4： 配置全局 TLS 设置

global(
  DefaultNetstreamDriver="gtls"
  DefaultNetstreamDriverCAFile="/etc/ssl/certs/ca.pem"
  DefaultNetstreamDriverCertFile="/etc/ssl/certs/server-cert.pem"
  DefaultNetstreamDriverKeyFile="/etc/ssl/private/server-key.pem"
)

将证书文件路径替换为您实际的证书位置。

步骤 5： 验证配置

sudo rsyslogd -N1

步骤 6： 重启服务

sudo systemctl restart rsyslog

客户端（发送安全日志）：

步骤 1： 打开配置文件

sudo nano /etc/rsyslog.conf

步骤 2： 通过 TLS 转发所有日志到 syslog 服务器

*.* @@(o)logserver.example.com:6514

参数说明：

• @@ - 通过 TCP 转发（比 UDP 更可靠）
• (o) - 启用 OpenTLS 模式进行加密
• logserver.example.com - 替换为您的 syslog 服务器主机名或 IP
• 6514 - TLS syslog 端口（标准端口）

使用 IP 地址的示例：

*.* @@(o)192.168.1.100:6514

步骤 3： 验证配置

sudo rsyslogd -N1

步骤 4： 重启服务

sudo systemctl restart rsyslog

步骤 5： 验证服务正在运行

sudo systemctl status rsyslog

logger -n logserver.example.com -p user.info "TLS syslog test message"

systemd-journald 转发（现代 Linux 系统）

在现代发行版（Ubuntu 16.04+、RHEL 7+、CentOS 7+）中，日志首先由 systemd-journald 捕获，然后转发到 rsyslog。为确保日志到达您的 syslog 配置，请执行以下步骤：

步骤 1： 打开 journald 配置

sudo nano /etc/systemd/journald.conf

步骤 2： 定位并启用 syslog 转发

找到以下行：

ForwardToSyslog=no

将其更改为：

ForwardToSyslog=yes

步骤 3： 保存并退出编辑器（Ctrl+O，回车，Ctrl+X）

步骤 4： 重启 journald 以应用更改

sudo systemctl restart systemd-journald

步骤 5： 验证设置已激活

grep ForwardToSyslog /etc/systemd/journald.conf

您应该看到：

ForwardToSyslog=yes

如果 ForwardToSyslog 被禁用，日志可能不会出现在传统 syslog 文件（/var/log/messages，/var/log/syslog）中。如果您配置了依赖这些日志文件的 rsyslog 规则，这一点尤其重要。

设置日志轮换

日志轮换确保日志文件不会无限增长。没有适当的轮换，系统可能面临磁盘耗尽、性能下降和服务中断的风险。日志轮换还可保持日志有序、压缩并便于长期存储、审计和 合规。

Linux 日志轮换（logrotate）

logrotate 示例配置

/var/log/syslog {
    daily
    rotate 14
    compress
    missingok
    notifempty
}

功能说明： 每日轮换 syslog，保留 14 天的压缩归档，忽略缺失文件，并跳过空日志，这在 Ubuntu/Debian 的系统事件管理中很常见。

日志轮换最佳实践

• 保留 7–30 天的历史以供审计
• 压缩旧日志以节省空间
• 为高流量日志使用独立目录
• 定期监控磁盘使用情况

高级过滤、路由和模板

高级控制使您能够处理特定日志类型，减少噪音，并将重要事件路由到适当位置。

过滤示例：

自定义模板

模板让您对日志格式进行细粒度控制，以保持一致性并便于解析。

例如：

$template Detailed,"%timestamp:::date-rfc3339% %hostname% %syslogtag% %msg%\n"*.*
                        /var/log/custom.log; Detailed

配置示例和模板

配置因环境而异。这些示例帮助初学者创建一致且功能完善的 syslog 设置。一些常见模板包括：

这些模板减少设置时间并确保设备间行为可预测。

测试您的 syslog 配置

测试验证日志是否被正确生成、路由和接收。

定期使用这些命令测试有助于确保 syslog 在本地和远程环境中配置正确且正常运行。

排查常见 syslog 配置错误

Syslog 问题通常源于配置错误、权限问题或网络阻塞。以下是帮助您排查的诊断清单。

故障排除流程

1. 检查服务状态： sudo systemctl status rsyslog
2. 验证配置： sudo rsyslogd -N1
3. 测试网络连接： logger -n "test"
4. 检查权限和磁盘空间： 验证 /var/log/ 的所有权和可用空间
5. 启用调试日志： 在 rsyslog.conf 中添加 $DebugLevel 2

SELinux 注意事项（RHEL/CentOS 系统）

在 RHEL、CentOS 和 Fedora 系统上，即使配置和防火墙正确，SELinux 也可能阻止合法的 syslog 网络操作。如果远程日志记录失败，请按照以下故障排除步骤操作。

诊断 SELinux 阻止

步骤 1： 检查 syslog 是否被 SELinux 阻止

sudo tail -f /var/log/audit/audit.log | grep syslog

查找状态为 denied 的条目。如果看到拒绝消息，说明 SELinux 正在阻止 syslog 流量。按 Ctrl+C 退出 tail 命令。

步骤 2： 确认被阻止的具体端口或操作

查看审计日志输出。常见阻止包括：

• 连接到 端口 514（标准 syslog）
• 连接到端口 6514（TLS syslog）
• 远程日志的网络操作

应用 SELinux 策略于 syslog

步骤 1： 禁用 SELinux 过渡限制（如有需要）

sudo setsebool -P syslogd_disable_trans 0

-P 标志使更改在重启后依然有效。

步骤 2： 允许 syslog 使用标准端口（TCP）

sudo semanage port -a -t syslogd_port_t -p tcp 514

步骤 3： 允许 syslog 使用标准端口（UDP）

sudo semanage port -a -t syslogd_port_t -p udp 514

步骤 4： 允许 syslog 使用 TLS 端口

sudo semanage port -a -t syslogd_port_t -p tcp 6514

步骤 5： 重启 syslog 服务

sudo systemctl restart rsyslog

验证 SELinux 更改

步骤 1： 验证端口策略是否已应用

sudo semanage port -l | grep syslogd

预期输出：

syslogd_port_t                 tcp      514, 6514
syslogd_port_t                 udp      514

步骤 2： 检查 SELinux 布尔值状态

sudo getsebool syslogd_disable_trans

应返回：syslogd_disable_trans --> on

步骤 3： 测试远程日志

logger -n <syslog-server-ip> -p user.info "SELinux test message"

将 替换为您的实际 syslog 服务器 IP 地址。

如果 SELinux 拒绝仍然存在：

选项 1： 从拒绝中生成策略模块

sudo audit2allow -a -M syslog_custom
    sudo semodule -i syslog_custom.pp

选项 2： 临时禁用 SELinux（不建议用于生产环境）

sudo setenforce 0

重新启用命令：sudo setenforce 1

选项 3： 将 SELinux 设置为 syslog 域的宽容模式

sudo semanage permissive -a syslogd_t

SELinux 最佳实践

• 始终使用 sudo semanage port -a 添加端口，而不是修改现有的 SELinux 策略模块
• 保持 SELinux 强制模式启用以确保安全
• 在部署到生产环境前彻底测试策略
• 记录应用于系统的任何自定义 SELinux 策略
• 定期检查 /var/log/audit/audit.log 以发现新的拒绝模式

EventLog Analyzer 如何简化 syslog 配置

管理 Linux 服务器、Windows 系统、防火墙、路由器 和 应用程序 的 syslog 配置可能迅速变得复杂且不一致。手动编辑配置文件、为自定义格式创建正则表达式、TLS 证书管理以及跨多个设备协调防火墙规则都会带来错误和不一致的风险。ManageEngine EventLog Analyzer 通过集中、自动化和保护整个 syslog 设置过程，消除了这些复杂性。

手动配置与 EventLog Analyzer

使用 EventLog Analyzer 实现

• 统一管理控制台： 从一个仪表盘配置 Windows、Linux、网络设备和应用程序的 syslog 收集。
• 无需正则表达式： 自动检测并解析常见 syslog 格式，无需创建正则表达式或自定义解析规则。
• 安全加固： 自动配置基于 TLS 的日志传输（端口 6514），消除证书生成、分发和轮换的复杂性。
• 合规准备： 预构建的 PCI DSS、HIPAA、SOX、GDPR 及其他监管框架模板，无需手动调整。

部署前检查清单：

上线前，请验证：

1. 所有关键系统均在转发日志。
2. Facility 和 severity 代码已正确分类。
3. 已为敏感日志流启用 TLS。
4. 通过轮换策略控制磁盘使用。
5. 日志收集失败会触发警报。
6. 端到端管道已测试并验证。

EventLog Analyzer 将 syslog 转换为完整的安全与分析生态系统，简化配置，同时增强威胁检测、合规性和运营可见性。

常见问题解答