rsyslog日志轉(zhuǎn)發(fā)問題

coolmoon_133319

問題描述：
轉(zhuǎn)發(fā)日志中增加了Pri，Date，syslogtag，由于我的日志本身就包含這些信息，所以不想再添加，需要如何配置。

模板：
$ActionFileDefaultTemplate RSYSLOG_TraditionalForwardFormat

日志源:
module(load="imfile" mode="polling")
input(type="imfile" File="/home/xxx/input.log")

日志輸出：
action(type="omfile" file="/home/xxx/output.log")

輸入文件內(nèi)容：
Jul 9 17:38:45 192.168.1.112 xxxx[2222]: 64 bytes from 192.168.1.113:icmp_seq=1 ttl=64 time=0.012s

輸出文件內(nèi)容
<187>Jul 13 00:29:29 localhost xxxx:<187>Jul 9 17:38:45 192.168.1.112 xxxx[2222]: 64 bytes from 192.168.1.113:icmp_seq=1 ttl=64 time=0.012s

有沒有什么選項設(shè)置？或者定義好的模板供學(xué)習(xí)，謝謝！

q1208c

轉(zhuǎn)發(fā)怎么會有兩層呢? 除非是你自己先加了一層吧?

coolmoon_133319

回復(fù) 2# q1208c

具體原因我現(xiàn)在回想不起來了，我又重新測試了，以這次的數(shù)據(jù)為準(zhǔn)。

輸入：
64 bytes from 192.168.1.113:icmp_seq=1 ttl=64 time=0.012s

輸出：
<187>Jul 14 04:17:21 localhost xxxx: 64 bytes from 192.168.1.113:icmp_seq=1 ttl=64 time=0.012s


實際上，我并不需要紅色標(biāo)注內(nèi)容。


   

q1208c

回復(fù) 3# coolmoon_133319

我不知道你的輸入是怎么輸入的, 也不知道你的輸出是在哪里的輸出.

對于syslog來說, 每條必一定會有一個 時間, 至于引發(fā)的程序, 好象不一定會有. 級別好象也可以沒有.

我配置過的 syslog server 都是按照網(wǎng)上的說明配置的, 也基本上都是會正常的工作.
   

coolmoon_133319

回復(fù) 4# q1208c

輸入源是文件：imfile
輸出源也是文件：omfile

這個配置下，rsyslog也能工作，只是增加紅色標(biāo)注的內(nèi)容。

一個實際的場景是：輸入源文件里本身日志就符合BSD-syslog協(xié)議，及<pri>,<date>,<tag>,<msg>完全沒有必要補充這些內(nèi)容。

   

q1208c

回復(fù) 5# coolmoon_133319

那你為什么不拿掉 輸入源中的 這些標(biāo)識呢?
   

coolmoon_133319

回復(fù) 6# q1208c
拿掉這些標(biāo)識后不能表明原有的信息了啊。

比如，我的應(yīng)用程序記錄了兩條錯誤日志，一條日志級別是warning，一條級別是error。去掉這些標(biāo)識后，我怎么設(shè)置日志級別。

另外，再請教一個問題，rsyslog時候支持字符串替換。舉例來講，比如將源日志中的“張三”替換成“李四”


   

q1208c

回復(fù) 7# coolmoon_133319

我沒有配置過 字符串替換.


我個人的理解, 日志系統(tǒng), 應(yīng)該忠實的記錄所有發(fā)來的信息, 如果在記錄中可以替換, 那你還相信這份日志么? 反正我是不信.