syslog-ng是否能接受syslogd的日志？

joecen

使用syslog-ng可以与syslogd一样侦听在UDP的514端口上：

1. source src { unix-stream("/dev/log"); internal(); udp(ip(0.0.0.0) port(514)); };

复制代码

不知道是否能接受其他的syslogd发过来的日志信息呢？
注意：我是说server端是syslog-ng，client端还是用原来的syslogd。

谢谢！

abel

原帖由 "joecen" 发表：
不知道是否能接受其他的syslogd发过来的日志信息呢？
注意：我是说server端是syslog-ng，client端还是用原来的syslogd。

谢谢！

可以,你可以放心用
我是這麼做的

joecen

原帖由 "abel" 发表：

可以,你可以放心用
我是這麼做的

谢谢abel的回答。

我的设置是：
server的ip是10.17.0.3
server 端：

1. options { sync (0);
   
2.           time_reopen (10);
   
3.           log_fifo_size (1000);
   
4.           long_hostnames (off);
   
5.           use_dns (no);
   
6.           use_fqdn (no);
   
7.           create_dirs (no);
   
8.           keep_hostname (yes);
   
9.         };
   
10. 
    
11. source s_sys { file ("/proc/kmsg" log_prefix("kernel: ")); unix-stream ("/dev/log"); internal(); };
    
12. source s_remote { file ("/proc/kmsg" log_prefix("kernel: ")); unix-stream("/dev/log"); udp(ip(0.0.0.0) port(514)); };
    
13. 
    
14. destination d_cons { file("/dev/console"); };
    
15. destination d_mesg { file("/var/log/messages"); };
    
16. destination d_auth { file("/var/log/secure"); };
    
17. destination d_mail { file("/var/log/maillog"); };
    
18. destination d_spol { file("/var/log/spooler"); };
    
19. destination d_boot { file("/var/log/boot.log"); };
    
20. destination d_cron { file("/var/log/cron"); };
    
21. destination d_remote { file("/var/log/remote.log"); };
    
22. destination d_mlal { usertty("*"); };
    
23. 
    
24. 
    
25. filter f_filter1     { facility(kern); };
    
26. filter f_filter2     { level(info) and
    
27.                      not (facility(mail)
    
28.                         or facility(authpriv) or facility(cron)); };
    
29. filter f_filter3     { facility(authpriv); };
    
30. filter f_filter4     { facility(mail); };
    
31. filter f_filter5     { level(emerg); };
    
32. filter f_filter6     { facility(uucp) or
    
33.                      (facility(news) and level(crit)); };
    
34. filter f_filter7     { facility(local7); };
    
35. filter f_filter8     { facility(cron); };
    
36. 
    
37. filter f_filter9     { facility(Syslogclient); };
    
38. 
    
39. log { source(s_sys); filter(f_filter2); destination(d_mesg); };
    
40. log { source(s_sys); filter(f_filter3); destination(d_auth); };
    
41. log { source(s_sys); filter(f_filter4); destination(d_mail); };
    
42. log { source(s_sys); filter(f_filter5); destination(d_mlal); };
    
43. log { source(s_sys); filter(f_filter6); destination(d_spol); };
    
44. log { source(s_sys); filter(f_filter7); destination(d_boot); };
    
45. log { source(s_sys); filter(f_filter8); destination(d_cron); };
    
46. 
    
47. log { source(s_remote); filter(f_filter9); destination(d_remote); };

复制代码

（基本上按照默认的设置,只是增加了一个source、destination 、filter和log  ）



client端是freebsd，使用

1. syslogd -m 0 -a 10.17.0.0/16

复制代码

启动syslogd。
就设置了：

1. *.notice;kern.debug;lpr.info;mail.crit;news.err @10.17.0.3

复制代码

但现在发现，在server的/var/log/remote.log文件并无记录。

麻烦abel是否可以提供一个例子，让我看看如何设置呢？[/code]

abel

http://phorum.study-area.org/viewtopic.php?t=26137&highlight=syslog-ng
你可以看看

joecen

原帖由 "abel" 发表：
http://phorum.study-area.org/viewtopic.php?t=26137&highlight=syslog-ng
你可以看看

嗯，我昨天有看这篇文章。
但里面并没有写如何让syslogd的host将log发给syslog-ng，只是写了本地的apache如何发log给syslog-ng。

joecen

我从syslog-ng的FAQ中看了，
http://www.campin.net/syslog-ng/faq.html#interoperability

里面是这样写的：

1. I'm new to syslog-ng. Is there a way for syslog-ng and syslogd to co-exist? Our servers are managed by another group, and they don't support syslog-ng. Can you pipe all syslogd messages to syslog-ng?
   
2. 
   
3. Yes, syslog-ng can accept messages from stock syslogd using the udp() source.
   

复制代码

但我已经用了UDP() source了。为什么不行呢？

在安装了syslog-ng的机器上使用

1. tcpdump -i eth0 port 514 -X -vv

复制代码

，然后在syslogd机器上用su root，然后输入错误的密码。tcpdump能发现有数据过来了，但syslog-ng去没有写入到日志里。所以我可以确认应该是我的syslog-ng的配置有误。

麻烦abel有时间的话，帮我看看配置是否不对。
我再测试一下。

abel

1. options { long_hostnames(off); sync(0);
   
2. chain_hostnames(no); create_dirs (no);
   
3. dir_perm(0755); dns_cache(yes);
   
4. keep_hostname(yes); log_fifo_size(2048);
   
5. log_msg_size(8192); long_hostnames(on);
   
6. stats(3600); sync(0);
   
7. time_reopen (10); use_dns(yes); use_fqdn(yes);
   
8. };
   
9. source src { unix-stream("/dev/log"); internal(); };
   
10. source net { unix-stream("/dev/log"); internal(); udp(ip(0.0.0.0) port(514));};
    
11. destination hosts { file("/var/log/syslogs/$HOST/$FACILITY" owner(root) group(root) perm(0600) dir_perm(0700) create_dirs(yes));
    
12. };
    
13. log {
    
14.         source(net); destination(hosts);
    
15. };

复制代码

這是我的設定檔
結果是一個 host 一個目錄

joecen

原帖由 "abel" 发表：

這是我的設定檔
結果是一個 host 一個目錄

非常感谢！

joecen

abel是否有尝试将windows的log集中在syslog-ng中呢？

abel

[quote]原帖由 "joecen"]abel是否有尝试将windows的log集中在syslog-ng中呢？[/quote 发表：

沒有
因為我們單位沒有 windows 的 server