Ubuntu rsyslog服务配置与管理（新手入门级详细教程）

一、什么是 rsyslog？

rsyslog 是一个开源的、高性能的日志处理系统，支持本地日志记录和远程日志转发。Ubuntu 自带 rsyslog 服务，用于收集系统、内核、应用程序等各类日志信息，并按规则分类存储到不同文件中。

二、检查 rsyslog 服务状态

首先，我们需要确认 rsyslog 是否已安装并正在运行：

sudo systemctl status rsyslog  

如果看到 active (running)，说明服务正在运行。如果没有安装，可使用以下命令安装：

sudo apt updatesudo apt install rsyslog  

三、rsyslog 配置文件详解

rsyslog 的主配置文件位于 /etc/rsyslog.conf，此外还有 /etc/rsyslog.d/ 目录下的自定义配置文件（以 .conf 结尾）。建议在 /etc/rsyslog.d/ 中创建新配置，避免直接修改主配置文件。

常用日志设施（Facility）和优先级（Severity）如下：

• auth：认证相关日志
• cron：计划任务日志
• kern：内核日志
• mail：邮件系统日志
• *.*：所有设施的所有级别
• info/warn/err：日志级别（信息/警告/错误）

四、自定义日志规则示例

假设我们希望将所有 auth 相关的日志单独保存到 /var/log/auth-custom.log 文件中，可以这样做：

1. 创建新配置文件：

sudo nano /etc/rsyslog.d/50-auth-custom.conf  

2. 在文件中添加以下内容：

# 将 auth 和 authpriv 的日志写入自定义文件auth,authpriv.*    /var/log/auth-custom.log  

3. 保存并退出编辑器，然后重启 rsyslog 服务使配置生效：

sudo systemctl restart rsyslog  

现在，所有认证相关的日志都会被记录到 /var/log/auth-custom.log 中。

五、远程日志转发（可选进阶）

如果你有多个服务器，可以将日志集中发送到一台日志服务器。例如，将本机日志发送到 IP 为 192.168.1.100 的日志服务器：

# 在 /etc/rsyslog.d/remote.conf 中添加*.* @192.168.1.100:514  

其中 @ 表示使用 UDP 协议，@@ 表示使用 TCP 协议。记得在日志服务器端也要配置 rsyslog 接收远程日志。

六、常见问题排查

• 日志未写入？检查文件权限和路径是否存在。
• 配置不生效？执行 sudo systemctl restart rsyslog 重启服务。
• 查看实时日志：使用 tail -f /var/log/syslog 命令。

七、总结

通过本教程，你已经掌握了 Ubuntu rsyslog配置 的基本方法，包括服务状态检查、配置文件结构、自定义日志规则以及远程日志转发。合理使用 rsyslog日志管理 功能，不仅能提升系统运维效率，还能增强安全审计能力。

无论你是系统管理员还是普通用户，掌握 Ubuntu系统日志 的管理技巧都至关重要。希望这篇 rsyslog服务教程 能为你打下坚实基础！