Syslog 配置入门指南

Syslog 配置构成了强大 日志管理 和 网络监控 的基础。通过提供一种标准化的方法来捕获、存储和分析关键系统事件，它作为您的基础设施的中枢神经系统，揭示性能问题、安全威胁和运营故障。

这本全面的初学者指南将 syslog 配置分解为易于管理的步骤，并配有适用于各种操作系统和设备的实用示例。无论您是在设置本地日志、配置远程日志转发，还是使用 TLS 加密 保护 syslog，您都能在此找到完整的工作流程。

了解 syslog 配置文件

Syslog 的行为完全由其配置文件控制。这些文件充当您的日志系统的规则手册，决定消息如何分类、处理、存储和转发。

配置文件控制内容：

• 接收并处理传入的日志消息
• 根据 facility（源类型）和 severity（优先级）对消息进行分类
• 决定哪些消息本地存储、远程转发或丢弃
• 使用可自定义模板格式化日志条目
• 启用通信 协议（UDP、TCP 或用于加密的 TLS）
• 通过消息排队和缓冲管理系统性能

虽然存在不同的实现（rsyslog、syslog-ng、传统 syslogd），但它们都遵循相同的概念结构。掌握配置文件可让您为 集中分析 定制整个日志工作流程。

配置文件结构

一个典型的 syslog 配置文件包含以下逻辑部分：

• 全局指令： 系统范围的设置，如队列大小、超时和文件权限
• 模块： 可加载组件，扩展功能（加密、数据库输出等）
• 规则： 过滤和路由指令（初学者最重要的部分）
• 模板： 控制日志消息显示格式的定义

定位 syslog 配置文件

知道配置文件的位置对于修改日志行为、启用远程转发或排查问题至关重要。

基本 syslog 配置语法

理解 syslog 语法对于创建有效的日志规则至关重要。虽然不同实现的高级功能有所不同，但核心语法在各系统间通用。

所有 syslog 规则遵循此基本模式：

facility.severity    destination

设施

设施按来源对日志消息进行分类，帮助管理员将特定类型的系统事件路由到相应的日志文件或操作。

严重性级别

严重性级别以数字（0-7）定义日志消息的紧急程度，使得在故障排除时能够过滤关键警报与常规信息。

选择器

选择器结合设施和严重性级别，使用运算符创建精确的过滤规则，以实现针对 日志收集、噪声减少和高级匹配。

操作

操作指定过滤日志消息的目标，支持本地存储、远程转发、用户通知和程序处理，实现全面的日志策略。

语法示例

平台特定的 syslog 设置

Syslog 在 Linux、Windows 和网络设备上的行为不同。理解这些平台特定的差异对于一致的日志收集至关重要。

Linux (rsyslog)：逐步配置

步骤 1： 打开配置

sudo nano /etc/rsyslog.conf

步骤 2： 启用网络模块

module(load="imudp")
input(type="imudp" port="514")
module(load="imtcp")
input(type="imtcp" port="514")

步骤 3： 根据需要添加规则、过滤器或模板

示例： 将所有日志转发到远程 syslog 服务器

*.* @@192.168.1.100:514

步骤 4： 验证配置（重启前）

检查配置语法错误

sudo rsyslogd -N1

如果没有错误，继续重启。如果发现错误，请修复并重新验证。

步骤 5： 重启服务

sudo systemctl restart rsyslog

步骤 6： 验证服务是否运行

sudo systemctl status rsyslog

Windows：代理安装

Windows 缺乏原生 syslog 支持，需要第三方代理：

• NXLog community/enterprise：
  复制

  Configure C:\Program Files\NXLog\conf\nxlog.conf

• Snare 代理：
  复制

  Edit C:\Program Files\Snare\snare.conf

• Syslog-NG Agent： 通过代理界面配置

典型设置包括 syslog 服务器 IP、功能映射、日志格式（RFC 3164/5424）和传输协议（UDP/TCP/TLS）。

网络设备：厂商示例

一旦在所有平台上配置了 syslog，您的环境即准备好进行 集中日志 和 SIEM 集成。

远程日志记录设置

远程日志对于集中日志管理、合规、审计和 SIEM 操作至关重要。本节涵盖完整工作流程：客户端配置、服务器配置、打开防火墙端口和 TLS 加密。

客户端示例（rsyslog）

将所有日志发送到中央 syslog 服务器：

UDP（快速，无交付保证）：

*.* @192.168.1.10:514

TCP（可靠交付）：

*.* @@192.168.1.10:514

服务器端示例（rsyslog）

启用 syslog 服务器监听：

module(load="imudp")
input(type="imudp" port="514")

module(load="imtcp")
input(type="imtcp" port="514")

远程日志最佳实践

• 使用 TCP 以确保可靠性
• 使用 TLS（端口 6514）以确保安全
• 使用功能代码分段流量
• 启用队列以处理网络中断

为 syslog 打开防火墙端口

到您的 syslog 服务器的网络流量必须由 防火墙 明确允许。请选择适合您 Linux 发行版的方法：

firewalld（RHEL/CentOS/Fedora）

步骤 1： 允许标准 syslog 端口（UDP 和 TCP）

sudo firewall-cmd --permanent --add-port=514/udp
sudo firewall-cmd --permanent --add-port=514/tcp

步骤 2： 允许 TLS syslog 端口

sudo firewall-cmd --permanent --add-port=6514/tcp

步骤 3： 重新加载防火墙规则

sudo firewall-cmd --reload

步骤 4： 验证端口是否开放

sudo firewall-cmd --list-ports

预期输出：514/udp 514/tcp 6514/tcp

UFW（Ubuntu/Debian）

步骤 1： 允许标准 syslog 端口（UDP 和 TCP）

sudo ufw allow 514/udp
sudo ufw allow 514/tcp

步骤 2： 允许 TLS syslog 端口

sudo ufw allow 6514/tcp

步骤 3： 验证规则是否生效

sudo ufw status

iptables（旧系统）

步骤 1： 允许 syslog UDP 流量

sudo iptables -A INPUT -p udp --dport 514 -j ACCEPT

步骤 2： 允许 syslog TCP 流量

sudo iptables -A INPUT -p tcp --dport 514 -j ACCEPT

步骤 3： 允许 TLS syslog 流量

sudo iptables -A INPUT -p tcp --dport 6514 -j ACCEPT

步骤 4： 保存规则（CentOS/RHEL）

sudo service iptables save

步骤 5： 验证规则是否生效

sudo iptables -L -n | grep 514

测试防火墙访问：

开放端口后，验证 syslog 是否能到达您的服务器：

# Test from client machine
nc -vzu <syslog-server-ip> 514     # UDP test
nc -vz <syslog-server-ip> 514      # TCP test
nc -vz <syslog-server-ip> 6514     # TLS test

结果解释：

测试成功将返回连接消息。具体措辞取决于您的 netcat 版本：

• nmap-ncat 或更新的 gnu-netcat： 您将看到 Connection to port <514|6514> [tcp|udp/*] succeeded!
• 较旧的 gnu-netcat（Linux 常见）： 您将看到 Connection to port [tcp|udp/*] succeeded!
• BSD netcat（macOS 常见）： 对于 TCP，命令将静默退出（退出码为 0）。对于 UDP (-u)，可能不会提供明确反馈。

测试失败通常会返回类似 Connection refused、No route to host 或 Timed out 的错误，且命令会挂起直到您中断（Ctrl+C）。

配置 TLS 加密的 syslog（rsyslog）

在生产环境中，TLS 加密保护传输中的敏感日志数据。以下是在服务器和客户端配置安全 syslog 的方法。

服务器端（接收安全日志）：

步骤 1： 打开配置

sudo nano /etc/rsyslog.conf

步骤 2： 加载安全输入模块：

module(load="imtcp" StreamDriver.Name="gtls" 
       StreamDriver.Mode="1" 
       StreamDriver.AuthMode="anon")

步骤 3： 监听端口 6514（标准 TLS syslog 端口）

input(type="imtcp" port="6514")

步骤 4： 配置全局 TLS 设置

global(
  DefaultNetstreamDriver="gtls"
  DefaultNetstreamDriverCAFile="/etc/ssl/certs/ca.pem"
  DefaultNetstreamDriverCertFile="/etc/ssl/certs/server-cert.pem"
  DefaultNetstreamDriverKeyFile="/etc/ssl/private/server-key.pem"
)

将证书文件路径替换为您实际的证书位置。

步骤 5： 验证配置

sudo rsyslogd -N1

步骤 6： 重启服务

sudo systemctl restart rsyslog

客户端（发送安全日志）：

步骤 1： 打开配置

sudo nano /etc/rsyslog.conf

步骤 2： 通过 TLS 转发所有日志到 syslog 服务器

*.* @@(o)logserver.example.com:6514

参数说明：

• @@ - 通过 TCP 转发（比 UDP 更可靠）
• (o) - 启用 OpenTLS 模式进行加密
• logserver.example.com - 替换为您的 syslog 服务器主机名或 IP
• 6514 - TLS syslog 端口（标准）

使用 IP 地址的示例：

*.* @@(o)192.168.1.100:6514

步骤 3： 验证配置

sudo rsyslogd -N1

步骤 4： 重启服务

sudo systemctl restart rsyslog

步骤 5： 验证服务正在运行

sudo systemctl status rsyslog

logger -n logserver.example.com -p user.info "TLS syslog test message"

systemd-journald 转发（现代 Linux 系统）

在现代发行版（Ubuntu 16.04+、RHEL 7+、CentOS 7+）中，日志首先由 systemd-journald 捕获，然后转发到 rsyslog。为确保日志到达您的 syslog 配置，请执行以下步骤：

步骤 1： 打开 journald 配置

sudo nano /etc/systemd/journald.conf

步骤 2： 找到并启用 syslog 转发

找到该行：

ForwardToSyslog=no

更改为：

ForwardToSyslog=yes

步骤 3： 保存并退出编辑器（Ctrl+O，回车，Ctrl+X）

步骤 4： 重启 journald 以应用更改

sudo systemctl restart systemd-journald

步骤 5： 验证设置是否生效

grep ForwardToSyslog /etc/systemd/journald.conf

您应该看到：

ForwardToSyslog=yes

如果 ForwardToSyslog 被禁用，日志可能不会出现在传统的 syslog 文件中（/var/log/messages，/var/log/syslog）。如果您正在配置依赖这些日志文件的 rsyslog 规则，这一点尤其关键。

设置日志轮换

日志轮换确保日志文件不会无限增长。没有适当的轮换，系统可能面临磁盘耗尽、性能下降和服务中断的风险。日志轮换还可以保持日志的有序、压缩和易于管理，便于长期存储、审计和 合规。

Linux 日志轮换（logrotate）

示例 logrotate 配置

/var/log/syslog {
    daily
    rotate 14
    compress
    missingok
    notifempty
}

功能说明： 每日轮换 syslog，保留 14 天的压缩归档，忽略缺失文件，跳过空日志，这在 Ubuntu/Debian 的系统事件管理中很常见。

日志轮换最佳实践

• 保留 7 到 30 天的历史以供审计
• 压缩旧日志以节省空间
• 为高流量日志使用单独目录
• 定期监控磁盘使用情况

高级过滤、路由和模板

高级控制使您能够处理特定日志类型，减少噪音，并将重要事件路由到适当位置。

过滤示例：

自定义模板

模板让您对日志格式进行细粒度控制，以保持一致性并便于解析。

例如：

$template Detailed,"%timestamp:::date-rfc3339% %hostname% %syslogtag% %msg%\n"*.*
                        /var/log/custom.log; Detailed

配置示例和模板

配置因环境而异。这些示例帮助初学者创建一致且功能完善的syslog设置。一些常见模板包括：

这些模板减少设置时间并确保设备间行为可预测。

测试您的 syslog 配置

测试验证日志是否正确生成、路由和接收。

使用这些命令定期测试有助于确保 syslog 在本地和远程环境中配置正确且正常运行。

排查常见的 syslog 配置错误

Syslog 问题通常源于配置错误、权限问题或网络阻塞。以下是帮助您排查过程的诊断清单。

排查流程

1. 检查服务状态： sudo systemctl status rsyslog
2. 验证配置： sudo rsyslogd -N1
3. 测试网络连接： logger -n "test"
4. 检查权限和磁盘空间： 验证 /var/log/ 的所有权和可用空间
5. 启用调试日志： 在 rsyslog.conf 中添加 $DebugLevel 2

SELinux 注意事项（RHEL/CentOS 系统）

在 RHEL、CentOS 和 Fedora 系统中，即使配置和防火墙正确，SELinux 也可能阻止合法的 syslog 网络操作。如果远程日志记录失败，请按照以下排查步骤操作。

诊断 SELinux 阻止

步骤 1： 检查 SELinux 是否阻止 syslog

sudo tail -f /var/log/audit/audit.log | grep syslog

查找带有拒绝状态的条目。如果看到拒绝消息，说明 SELinux 正在阻止 syslog 流量。按 Ctrl+C 退出 tail 命令。

步骤 2： 确定被阻止的具体端口或操作

审查审计日志输出。常见阻止包括：

• 连接到 端口 514（标准 syslog）
• 连接到端口 6514（TLS syslog）
• 远程日志记录的网络操作

应用 SELinux 策略以支持 syslog

步骤 1： 禁用 SELinux 过渡限制（如有需要）

sudo setsebool -P syslogd_disable_trans 0

-P 标志使更改在重启后依然有效。

步骤 2： 允许标准端口上的 syslog（TCP）

sudo semanage port -a -t syslogd_port_t -p tcp 514

步骤 3： 允许标准端口上的 syslog（UDP）

sudo semanage port -a -t syslogd_port_t -p udp 514

步骤 4： 允许 TLS 端口上的 syslog

sudo semanage port -a -t syslogd_port_t -p tcp 6514

步骤 5： 重启 syslog 服务

sudo systemctl restart rsyslog

验证 SELinux 更改

步骤 1： 验证端口策略是否已应用

sudo semanage port -l | grep syslogd

预期输出：

syslogd_port_t                 tcp      514, 6514
syslogd_port_t                 udp      514

步骤 2： 检查 SELinux 布尔状态

sudo getsebool syslogd_disable_trans

应返回：syslogd_disable_trans --> on

步骤 3： 测试远程日志记录

logger -n <syslog-server-ip> -p user.info "SELinux test message"

将 替换为您的实际 syslog 服务器 IP 地址。

如果 SELinux 拒绝仍然存在：

选项 1： 从拒绝记录生成策略模块

sudo audit2allow -a -M syslog_custom
    sudo semodule -i syslog_custom.pp

选项 2： 临时禁用 SELinux（不建议在生产环境中使用）

sudo setenforce 0

重新启用命令：sudo setenforce 1

选项 3： 将 SELinux 设置为 syslog 域的宽容模式

sudo semanage permissive -a syslogd_t

SELinux 最佳实践

• 始终使用 sudo semanage port -a 添加端口，而非修改现有 SELinux 策略模块
• 保持 SELinux 强制模式以确保安全
• 在部署到生产环境前彻底测试策略
• 记录应用于系统的任何自定义 SELinux 策略
• 定期检查 /var/log/audit/audit.log 以发现新的拒绝模式

EventLog Analyzer 如何简化 syslog 配置

管理 Linux 服务器、Windows 系统、防火墙、路由器和 应用程序上的 syslog 配置可能迅速变得复杂且不一致。手动编辑配置文件、为自定义格式创建正则表达式、TLS 证书管理以及跨多设备协调防火墙规则都会带来错误和不一致的风险。ManageEngine EventLog Analyzer 通过集中、自动化和保护整个 syslog 设置过程，消除了这种复杂性。

手动配置与 EventLog Analyzer

搭配 EventLog Analyzer 提供

• 统一管理控制台： 从一个仪表板配置 Windows、Linux、网络设备和应用程序的 syslog 收集。
• 零正则表达式需求： 自动检测并解析常见 syslog 格式，无需创建正则表达式或自定义解析规则。
• 安全加固： 自动配置基于 TLS 的日志传输（端口 6514），消除证书生成、分发和轮换的复杂性。
• 合规就绪： 预构建的模板支持 PCI DSS、HIPAA、SOX、GDPR 及其他监管框架，无需手动调整。

部署前检查清单：

上线前请验证：

1. 所有关键系统均在转发日志。
2. 设施和严重性代码已正确分类。
3. 敏感日志流已启用 TLS。
4. 通过轮换策略控制磁盘使用。
5. 日志收集失败会触发警报。
6. 端到端管道已测试并验证。

EventLog Analyzer 将 syslog 转变为完整的安全与分析生态系统，简化配置的同时增强威胁检测、合规性和运营可视性。

常见问题解答