syslog-ng学习心得

在[url]http://coolerfeng.blog.51cto.com/133059/7996[/url]已经对syslogng进行了介绍
可能没有用过的朋友还是不太了解，下面讲一个例子
cat ／etc／syslog-ng/syslog-ng.conf

#Syslog-ng configuration file
options {
        long_hostnames(off);
# long_hostnames(yes|no) ：是chain_hostnames的别名，已不建议使用
        sync(100);
# sync(n) ：缓存多少行的信息再写入文件中， 0为不缓存，局部参数可以覆盖该值。
        stats(43200);
#stats(n) ：多少时间（秒）写入两行STATUS信息供，默认值是：600
        create_dirs(yes);
#create_dirs(yes创建目录
        compress(yes);
＃压缩
        log_fifo_size(200);
＃设置输出队列的大小　　
＃　　为了防止发送日志的daemon程序阻塞，syslog-ng一直在读取其向内的日志通道。如果输出队列已满，就可能造成日志消息的丢失。因此，设置输出队列的大小非常重要，你可以设置全局输出队列的大小，也可以为每个日志消息驱动器设置输出队列的大小。
};

#src
source src { unix-stream("/dev/log"); internal(); pipe("/proc/kmsg"); udp(ip(0.0.0.0) port(514)); };
＃定义消息源src，从udp514端口接收
＃Linux 一个叫作/dev/log的SOCK_STREAM unix套接字
＃通常，内核会把自己的消息送到一个特殊的文件(BSD系统是/dev/kmsg，Linux系统是/proc/kmsg)
＃ internal();所有syslog-ng内部产生的日志消息。
＃pipe,fifo 打开指定的管道或者FIFO设备，读取日志信息

#for realtime alert
destination d_realtime_alert { udp("0.0.0.0" port(7777)); };
destination d_realtimepass_alert { udp("0.0.0.0" port(8888)); };
＃定义目的地d_realtime_alert，把日志消息发送到指定的UDP端口7777
＃定义目的地d_realtimepass_alert，把日志消息发送到指定的UDP端口8888

destination d_passport { file("/opt/syslog-ng/log/passport_log"); };
＃把日志消息写入指定的文件
destination d_maildlogin { udp("0.0.0.0" port(9801)); };
#destination d_maildlogin { file("/opt/syslog-ng/log/oplog/$YEAR.$MONTH.$DAY.$HOUR.log" create_dirs(yes)); };
＃用变量来创建文件，这样每小时自动生成一个日志文件，实现分割
#192.168.132.203
filter f_192.168.132.203 { host("192.168.132.203"); };
＃定义过滤器，匹配来自192.168.132.203的日志消息
log { source(src); filter (f_192.168.132.203); destination(d_passport); };
＃把消息源、过滤器、消息目的组合起来就形成一条完整的指令。日志路径中的成员是顺序执行的。凡是来源于指定的消息源，匹配所有指定的过滤器，并送到指定的地址

destination d_webmail_stat_log { file("/opt/syslog-ng/log/oplog/$YEAR.$MONTH.$DAY.$HOUR.log" create_dirs(yes)); udp("localhost" port(2005)); udp("localhost" port(2004)); };
＃同时记录到文件和发送到UDP端口2005，2004

#Webmail Statistic
filter f_webmail_stat { program("oplog"); };
＃program(parm) ：启动指定的程序oplog，并把日志消息发送到该进程的标准输入

以上是接收日志。发送端可以是程序，也可以是系统自带的syslogd
 cat /etc/syslog.conf
local6.*                                                @192.168.20.85