自建 syslog 日志服务器：集中收集与检索

发布时间:2026-07-06 17:02

## 适用场景 机器一多，排障时逐台登录翻日志既慢又容易漏，安全审计更需要跨机器的时间线。用 rsyslog 搭一台集中日志服务器，所有机器把日志实时转发过来，按主机分文件落盘，一次检索覆盖全部节点。顺云云服务器集群规模超过五六台时，集中日志的收益就开始明显。 ## 步骤清单 接收端先加载 TCP 接收模块并监听端口，再定义一个按主机名分目录的模板，让每台机器的日志各归其位。 ``` $ModLoad imtcp $InputTCPServerRun 514 $template RemoteHost,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log" *.* ?RemoteHost ``` 发送端在配置目录里新增一个转发文件，一行指定协议、目标与端口即可。两个 @ 符号代表 TCP，单个 @ 代表 UDP；日志量不大用 UDP 够了，要求不丢就上 TCP。 ``` *.* @@192.168.10.10:514 ``` 两端重启 rsyslog 服务生效，接收端防火墙规则放行对应端口。 ## 验证方法 发送端用 logger 发一条带特征串的测试日志，到接收端对应主机的目录里检索该特征串，出现即链路通畅。再核对两机时间是否同步，时间不齐的集中日志在排序时会错乱。 ## 注意事项 集中后磁盘用量按全部机器日志之和增长，配置轮转策略并预估容量。日志内容可能含敏感信息，传输与存放都要考虑访问控制。机器数量继续增长后，检索需求会超出 grep 的舒适区，届时再引入专用日志平台即可，起步阶段不必过度建设。 检索环节的效率决定这套系统的价值。常用查询模式先固化三个：按时间切窗口，配合日志时间戳缩小范围；按主机名定位，单机故障直接翻它的目录；按关键词检索，程序名加级别组合过滤。日志量大后 grep 会变慢，把每条日志约定成固定格式，时间、主机、程序、级别、消息五段式，后续无论换什么工具都能直接接。 安全边界也要在搭建时立好：接收端目录权限按团队隔离，转发端只允许推送不允许登录，日志服务器本身打基线快照并纳入重点巡检名单。集中日志既是排障工具也是审计证据，它的完整性值得用生产数据的标准来保护。