logger(二):linux下syslog & syslog-ng 详解

Linux下的sysylog与syslog-ng

     一台服务器的日志对系统工程师来说是至关重要的,一旦服务器出现故障或被入侵,我们需要查看日志来定位问题的关键所在,所以说对于线上跑的服务器而言日志应该合理的处理及管理.下面来介绍下linux系统的syslog日志服务器.

一、syslog详解

1.1syslog简介

syslog 是一种工业标准的协议，可用来记录设备的日志。在UNIX系统，路由器、交换机等网络设备中，系统日志(System Log)记录系统中任何时间发生的大小事件。管理者可以通过查看系统记录，随时掌握系统状况。UNIX的系统日志是通过syslogd这个进程记录系统有关事件记录，也可以记录应用程序运作事件。通过适当的配置，我们还可以实现运行syslog协议的机器间通信，通过分析这些网络行为日志，藉以追踪掌握与设备和网络有关的状况。syslog 系统日志记录着linux系统启动及运行的过程中产生的信息, RHEL 5.x系统上默认自带了syslog 的配置文件是/etc/syslog.conf. syslog默认有两个守护进程,klogd,syslogd。klogd 进程是记录系统运行的过程中内核生成的日志,而在系统启动的过程中内核初始化过程中 生成的信息记录到控制台(/dev/console）当系统启动完成之后会把此信息存放到/var/adm或/var/log/目录下的信息文件中(messages.*)。一个典型的syslog记录包括生成程序的名字和一个文本信息。它还包括一个设备和一个优先级范围。 通过使用syslog.conf文件，可以对生成的日志的位置及其相关信息进行灵活的配置。

 Syslogd 进程是记录非内核以外的信息: centos 6.x的syslogd被改名为rsyslogd,其默认的配置文件是/etc/rsyslog.conf

 

 

2.syslog配置详解：

该配置文件指明了syslogd守护程序记录日志的行为，该程序在启动时查询配置文件。该文件由不同程序或消息分类的单个条目组成，每个占一行。对每类消息提供一个选择域和一个动作域。

这些域由tab隔开:选择域指明消息的类型和优先级;动作域指明syslogd接收到一个与选择标准相匹配的消息时所执行的动作.

每个选择域都是由消息类型和优先级组成.当指明一个优先级时，syslogd将记录一个拥有相同或者更高优先级的消息。

Syslog.conf基本语法格式:

 [facility].[priority]   [action]

 消息类型.优先级  动作域

 

2.1 Facility可以理解为日志来源或类别，消息类型

 

1. auth      # 认证相关的 

2. authpriv  # 权限,授权相关的

3. cron      # 任务计划相关的

4. daemon    # 守护进程相关的

5. kern      # 内核相关的

6. lpr       # 打印相关的

7. mail      # 邮件相关的

8. mark      # 标记相关的

9. news      # 新闻相关的

10. security  # 安全相关的,与auth 类似 

11. syslog    # syslog自己的

12. user      # 用户相关的

13. uucp      # unix to unix cp 相关的

14. local0 到 local7 # 用户自定义使用

15. *         # *表示所有的facility

 

 

 

2.2 priority优先级，从高到低

 

1.emerg/oanic     # 会导致系统不可用的

2.alert           # 必须马上处理的

3.crit            # 比较严重的

4.err/error       # 错误信息 

5.warning/warn    # 可能影响系统功能,需要提醒用户的重要事件

6.notice          # 不影响正常功能,需要注意的消息 

7.info            # 一般信息

8.debug           # 程序或系统的调试信息

9.*               # 表示所有的日志级别 

10.none           # 跟* 相反,表示啥也没有

      

     例如:“mail.*”将把所有优先级的消息都发送到操作动作指定的/var/log/mail文件里。使用“*”限定符与使用“debug”优先级的效果完全一样，后者也将把所有类型的消息发送到指定地点。 

 

 

 

2.3 action表示日志记录位置

1.   系统上的绝对路径  # 普通文件 如： /var/log/xxx 

2.  |                # 管道  通过管道送给其他的命令处理 

3.  终端             # 终端   如：/dev/console

4.  @HOST            # 远程主机 如： @10.0.0.1

5.  用户             # 系统用户 如： root

6.  *            # 登录到系统上的所有用户，一般emerg级别的日志是这样定义的

 

 

 

 

2.4 一些例子：

   1.mail.info   /var/log/mail.log # 表示将mail相关的,级别为info及  info以上级别的信息记录到/var/log/mail.log文件中  

   2.auth.=info  @10.0.0.1  # 表示将auth相关的,基本为info的信息记录到10.0.0.1主机上去，前提是10.0.0.1要能接收其他主机发来的日志信息  

   3.user.!=error                  # 表示记录user相关的,不包括error级别的信息  

   4.user.!error                   # 与user.error相反 

   5.*.info                        # 表示记录所有的日志信息的info级别  

   6.mail.*                        # 表示记录mail相关的所有级别的信息  

   7.*.*                           # 你懂的.  

   8.cron.info;mail.info           # 多个日志来源可以用";" 隔开  

   9.cron,mail.info                # 与cron.info;mail.info 是一个意思  

   10.mail.*;mail.!=info           # 表示记录mail相关的所有级别的信息,但是不包括info级别的 

   11.uucp,news.crit /var/log/spooler     #UUCP和news设备能产生许多外部消息。它把这些消息存到自己的日志(/var/log/spooler)中并把级别限为\"err\"或更高

   12.  **.emerg @linuxaid.com.cn      #当一个紧急消息到来时，可能想让所有的用户都得到。也可能想让自己的日志接收并保存。

   13.#kern.* /dev/console              #有时syslogd将产生大量的消息。例如内核(\"kern\"设备)可能很冗长，用户很难看得清楚明了，那么用户可能想把内核消息记录到/dev/console中。表明内核日志记录被注释掉了

 

 

2.5 如下解析一下rhel5.x系统上自带的syslog的配置文件/etc/syslog.conf

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

# 表示将所有facility的info级别,但不包括mail,authpriv,cron相关的信息,记录到 /var/log/messages文件  

*.info;mail.none;authpriv.none;cron.none                /var/log/messages 

# 表示将权限,授权相关的所有基本的信息,记录到/var/log/secure文件中.这个文件的权限是600  

authpriv.*                                              /var/log/secure 

# 表示将mail相关的所有基本的信息记录到/var/log/maillog文件中,可以看到路径前面有一个"-"  

# "-" 表示异步写入磁盘,  

mail.*                                                  -/var/log/maillog 

# 表示将任务计划相关的所有级别的信息记录到/var/log/cron文件中  

cron.*                                                  /var/log/cron 

# 表示将所有facility的emerg级别的信息,发送给登录到系统上的所有用户  

*.emerg                                                 *  

# 表示将uucp及news的crit级别的信息记录到/var/log/spooler文件中  

uucp,news.crit                                          /var/log/spooler 

# 表示将local7的所有级别的信息记录到/var/log/boot.log文件中,  

# 上面说过local0 到local7这8个是用户自定义使用的,这里的local7记录的是系统启动相关的信息  

local7.*                                                /var/log/boot.log

 

 

如果需要重新启动syslog守护进程(/etc/syslog.conf的修改只有在syslog守护进程重新启动后才会生效)，并且只想重新启动syslog守护进程而不是整个系统，在Red Hat Linux机器上，执行以下两条命令之一即可：/etc/rc.d/init.d/syslogstop;/etc/rc.d/init.d/syslogstart/etc/rc.d/init.d/syslogrestart

 

 

 

 

2.6 使用syslog接口

加载sys/syslog.h文件

        openlog：打开日志设备，以供读取和写入，与文件系统调用的open类似; 

         syslog：写入日志，与文件系统调用的write类似; 

         closelog：关闭日志设备，与文件系统调用的close类似; 

         vsyslog：它和syslog功能一样，负责写入日志，只是参数格式不同。

 

(1)openlog函数

该函数的声明如下：

void openlog(const char *ident, int option, int facility);

此函数用来打开一个到系统日志记录程序的连接，打开之后就可以用syslog或vsyslog函数向系统日志里添加信息了。而closelog函数就是用来关闭此连接的。

第一个参数ident是一个标记，ident所表示的字符串将固定地加在每行日志的前面以标识这个日志，通常就写成当前程序的名称以作标记。

第二个参数 option一般是下列选项值取“与”运算(使用“|”表示，如“LOG_CONS | LOG_PID”)的结果：

LOG_CONS：如果送到system logger时发生问题，直接写入系统终端; 

LOG_NDELAY：立即开启连接，通常连接是在第一次写入消息时才打开的; 

LOG_PERROR：将消息也同时送到stderr设备; 

LOG_PID：将进程PID含入所有消息中。

第三个参数facility指明记录日志的程序的类型，它主要具有如下几类日志类型：

LOG_AUTH ：安全/授权消息 

LOG_AUTHPRIV：安全/授权消息 

LOG_CRON：时间守护进程(cron和at)专用 

LOG_DAEMON：其它系统守护进程 

LOG_KERN：核心消息 

LOG_LOCAL0到LOG_LOCAL7：系统保留 

LOG_LPR：printer子系统 

LOG_MAIL：mail子系统 

LOG_NEWS：USENET新闻子系统 

LOG_SYSLOG：syslogd进程内部所产生的消息 

LOG_USER(缺省)：一般使用者缺省使用消息 

LOG_UUCP：UUCP子系统 

LOG_FTP：FTP子系统使用

(2)syslog函数

syslog函数的声明如下：

void syslog(int priority, const char * message, ...);

第一个参数是消息的紧急级别priority，第二个参数是消息及其格式，之后是格式对应的参数，如同C语言里面printf输出函数一样使用，具体的格式这里就不再详述，它不是本书介绍的重点。

这里还需要详细介绍一下第一个参数priority，它是由severity level和facility组成的。Facility已经在上面介绍了，下面介绍一下severity level，也就是消息的重要级别，它主要包括：

LOG_EMERG：紧急状况 

LOG_ALERT：高优先级问题，比如说数据库崩溃等，必须要立即采取反应行动 

LOG_CRIT：重要状况发生，比如硬件故障 

LOG_ERR：错误发生 

LOG_WARNING：警告发生 

LOG_NOTICE：一般状况，需要引起注意 

LOG_INFO：信息状况 

 LOG_DEBUG：调试消息

在实际使用中，如果我们的程序要使用系统日志功能，只需要在程序启动时使用openlog函数来连接syslogd程序，后面随时用syslog函数写日志就行了。

(3)closelog函数

相对上述2个函数来说，该函数非常简单，其声明如下：

void closelog( void );

值得注意的是，虽然该函数的使用和调用情况非常简单，但是是必不可少的，因为在Linux系统中，打开的日志也是资源，如果只使用openlog函数打开日志，而忘记使用closelog关闭日志的话，当打开的日志数量累积到一定程度，便会造成内存不足，从而引起系统问题。所以，提醒用户在使用中特别注意

 

 

 

 

3.syslog-ng配置详解：

   syslog-ng (syslog-Next generation) 是syslog的升级版,syslog-ng有两个版本,一个是收费的,一个是开源的，那么作为syslog的下一代产品,功能是可想而知,肯定比syslog的功能强大的多,如 
高性能 可靠的传输 支持多平台 高可靠性 众多的用户群体 强大的日志过滤及排序 事件标签和关联性 支持最新的IETF标准 等....

3.1 syslog-ng 的设计原则：

 通过正规表达式协助，除支持原facitily/level方式，还支持内容过滤等以建立更好的消息过滤机制； 

 支持主机链，即使日志消息经过多重网络转发，仍可找到原发出主机的信息和整个消息链； 

 支持强大的自定义配置，并且清晰、明了。 

开源版本的主页 http://www.balabit.com/network-security/syslog-ng/opensource-logging-system/overview

 

3.2 syslog-ng 安装:

1.rhel5.x的系统上安装方法:

 yum install gcc*  

cd /usr/src 

wget http://www.balabit.com/downloads/files/syslog-ng/sources/3.2.4/source/eventlog_0.2.12.tar.gz 

 wget http://www.balabit.com/downloads/files/syslog-ng/open-source-edition/3.3.5/source/syslog-ng_3.3.5.tar.gz 

 tar xvf eventlog_0.2.12.tar.gz 

 cd eventlog-0.2.12 

 ./configure --prefix=/usr/local/eventlog 

 make 

 make install 

 

 cd /usr/src 

 tar xvf syslog-ng_3.3.5.tar.gz 

 cd syslog-ng-3.3.5 

 export PKG_CONFIG_PATH=/usr/local/eventlog/lib/pkgconfig 

 ./configure --prefix=/usr/local/syslog-ng 

 make 

 make install 

 

2.Ubuntu 2.6.x上的安装方法

 Sudo apt-get install syslog-ng

 

3.3 syslog-ng 原理:

LOG STATEMENTS『SOURCES － FILTERS －DESTINATIONS』
消息路径 『消息源 － 过滤器 － 目的站』

也就是说，通过定义多个消息源，把匹配上若干个过滤器的消息导向到指定的目的地，从而组成一个消息路径。

3.4 syslog-ng 配置详解:

   文件:$/etc/syslog-ng.conf

1. syslog-ng.conf文件里的内容有以下几个部分组成, 

2. # 全局选项,多个选项时用分好";"隔开 

3. options { .... }; 

4. # 定义日志源, 

5. source s_name { ... }; 

6. # 定义过滤规则，规则可以使用正则表达式来定义,这里是可选的,不定义也没关系 

7. filter f_name { ... }; 

8. # 定义目标 

9. destination d_name { ... }; 

10. # 定义消息链可以将多个源,多个过滤规则及多个目标定义为一条链 

11. log { ... }; 

12. 详解如下 

13. ---------------------------------------------------------------- 

14. options { long_hostnames(off); sync(0); perm(0640); stats(3600); }; 

15.     更多选项如下 

16.     chain_hostnames(yes|no)     # 是否打开主机名链功能，打开后可在多网络段转发日志时有效 

17.     long_hostnames(yes|no)      # 是chain_hostnames的别名，已不建议使用 

18.     keep_hostname(yes|no)       # 是否保留日志消息中保存的主机名称 

19.     use_dns(yes|no)             # 是否打开DNS查询功能， 

20.     use_fqdn(yes|no)            # 是否使用完整的域名 

21.     check_hostname(yes|no)      # 是否检查主机名有没有包含不合法的字符 

22.     bad_hostname(regexp)        # 可通过正规表达式指定某主机的信息不被接受 

23.     dns_cache(yes|no)           # 是否打开DNS缓存功能 

24.     dns_cache_expire(n)         # DNS缓存功能打开时，一个成功缓存的过期时间 

25.     dns_cache_expire_failed(n)  # DNS缓存功能打开时，一个失败缓存的过期时间 

26.     dns_cache_size(n)           # DNS缓存保留的主机名数量 

27.     create_dirs(yes|no)         # 当指定的目标目录不存在时，是否创建该目录 

28.     dir_owner(uid)              # 目录的UID 

29.     dir_group(gid)              # 目录的GID 

30.     dir_perm(perm)              # 目录的权限，使用八进制方式标注，例如0644 

31.     owner(uid)                  # 文件的UID 

32.     group(gid)                  # 文件的GID 

33.     perm(perm)                  # 文件的权限，同样，使用八进制方式标注 

34.     gc_busy_threshold(n)        # 当syslog-ng忙时，其进入垃圾信息收集状态的时间一旦分派的对象达到这个数字，syslog-ng就启动垃圾信息收集状态。默认值是：3000。 

35.     gc_idle_threshold(n)        # 当syslog-ng空闲时，其进入垃圾信息收集状态的时间一旦被分派的对象到达这个数字，syslog-ng就会启动垃圾信息收集状态，默认值是：100 

36.     log_fifo_size(n)            # 输出队列的行数 

37.     log_msg_size(n)             # 消息日志的最大值（bytes） 

38.     mark(n)                     # 多少时间（秒）写入两行MARK信息供参考，目前没有实现 

39.     stats(n)                    # 多少时间（秒）写入两行STATUS信息,默认值是：600 

40.     sync(n)                     # 缓存多少行的信息再写入文件中，0为不缓存，局部参数可以覆盖该值。 

41.     time_reap(n)                # 在没有消息前，到达多少秒，即关闭该文件的连接 

42.     time_reopen(n)              # 对于死连接，到达多少秒，会重新连接 

43.     use_time_recvd(yes|no)      # 宏产生的时间是使用接受到的时间，还是日志中记录的时间；建议使用R_的宏代替接收时间，S_的宏代替日志记录的时间，而不要依靠该值定义。 

44.  

45. source s_name { internal(); unix-dgram("/dev/log"); udp(ip("0.0.0.0") port(514)); }; 

46.  

47.     file (filename)                 # 从指定的文件读取日志信息 

48.     unix-dgram  (filename)          # 打开指定的SOCK_DGRAM模式的unix套接字，接收日志消息 

49.     unix-stream (filename)          # 打开指定的SOCK_STREAM模式的unix套接字，接收日志消息 

50.     udp ( (ip),(port) )             # 在指定的UDP端口接收日志消息 

51.     tcp ( (ip),(port) )             # 在指定的TCP端口接收日志消息 

52.     sun-streams (filename)          # 在solaris系统中，打开一个（多个）指定的STREAM设备，从其中读取日志消息 

53.     internal()                      # syslog-ng内部产生的消息 

54.     pipe(filename),fifo(filename)   # 从指定的管道或者FIFO设备，读取日志信息 

55.  

56. filter f_name   { not facility(news, mail) and not filter(f_iptables); }; 

57.     更多规则函数如下 

58.     facility(..)    # 根据facility（设备）选择日志消息，使用逗号分割多个facility 

59.     level(..)       # 根据level（优先级）选择日志消息，使用逗号分割多个level，或使用“..”表示一个范围 

60.     program(表达式)    # 日志消息的程序名是否匹配一个正则表达式 

61.     host(表达式)   # 日志消息的主机名是否和一个正则表达式匹配 

62.     match(表达式)  # 对日志消息的内容进行正则匹配 

63.     filter()        # 调用另一条过滤规则并判断它的值 

64.     定义规则的时候也可以使用逻辑运算符and or not 

65.  

66. destination d_name { file("/var/log/messages"); }; 

67.     更多动作如下 

68.     file (filename)                 # 把日志消息写入指定的文件 

69.     unix-dgram  (filename)          # 把日志消息写入指定的SOCK_DGRAM模式的unix套接字 

70.     unix-stream (filename)          # 把日志消息写入指定的SOCK_STREAM模式的unix套接字 

71.     udp (ip),(port)                 # 把日志消息发送到指定的UDP端口 

72.     tcp (ip),(port)                 # 把日志消息发送到指定的TCP端口 

73.     usertty(username)               # 把日志消息发送到已经登陆的指定用户终端窗口 

74.     pipe(filename),fifo(filename)   # 把日志消息发送到指定的管道或者FIFO设备 

75.     program(parm)                   # 启动指定的程序，并把日志消息发送到该进程的标准输入 

76.  

77. log { source(s_name); filter(f_name); destination(d_name) }; 

 

3.5 syslog-ng.conf 例子:

1.  options { long_hostnames(off); sync(0); perm(0640); stats(3600); }; 

2.  

3. source src {  

4.             internal();  

5.             unix-dgram("/dev/log");  

6.             # 表示日志来源为本机udp的514端口, 

7.             udp(ip("0.0.0.0") port(514));  

8. }; 

9.  

10. filter f_iptables   { facility(kern) and match("IN=") and match("OUT="); }; 

11.  

12. filter f_console    { level(warn) and facility(kern) and not filter(f_iptables) 

13.                       or level(err) and not facility(authpriv); }; 

14.  

15. filter f_newsnotice { level(notice) and facility(news); }; 

16. filter f_newscrit   { level(crit)   and facility(news); }; 

17. filter f_newserr    { level(err)    and facility(news); }; 

18. filter f_news       { facility(news); }; 

19.  

20. filter f_mailinfo   { level(info)      and facility(mail); }; 

21. filter f_mailwarn   { level(warn)      and facility(mail); }; 

22. filter f_mailerr    { level(err, crit) and facility(mail); }; 

23. filter f_mail       { facility(mail); }; 

24.  

25. filter f_cron       { facility(cron); }; 

26.  

27. filter f_local      { facility(local0, local1, local2, local3, 

28.                                local4,  local6, local7); }; 

29.  

30. filter f_acpid_full { match('^acpid:'); }; 

31. filter f_acpid      { level(emerg..notice) and match('^acpid:'); }; 

32.  

33. filter f_acpid_old  { match('^\[acpid\]:'); }; 

34.  

35. filter f_netmgm     { match('^NetworkManager:'); }; 

36.  

37. filter f_messages   { not facility(news, mail) and not filter(f_iptables); }; 

38. filter f_warn       { level(warn, err, crit) and not filter(f_iptables); }; 

39. filter f_alert      { level(alert); }; 

40.  

41. destination console  { pipe("/dev/tty10"    owner(-1) group(-1) perm(-1)); }; 

42. log { source(src); filter(f_console); destination(console); }; 

43.  

44. destination xconsole { pipe("/dev/xconsole" owner(-1) group(-1) perm(-1)); }; 

45. log { source(src); filter(f_console); destination(xconsole); }; 

46.  

47. destination newscrit   { file("/var/log/news/news.crit" 

48.                               owner(news) group(news)); }; 

49. log { source(src); filter(f_newscrit); destination(newscrit); }; 

50.  

51. destination newserr    { file("/var/log/news/news.err" 

52.                               owner(news) group(news)); }; 

53. log { source(src); filter(f_newserr); destination(newserr); }; 

54.  

55. destination newsnotice { file("/var/log/news/news.notice" 

56.                               owner(news) group(news)); }; 

57. log { source(src); filter(f_newsnotice); destination(newsnotice); }; 

58.  

59. destination mailinfo { file("/var/log/mail.info"); }; 

60. log { source(src); filter(f_mailinfo); destination(mailinfo); }; 

61.  

62. destination mailwarn { file("/var/log/mail.warn"); }; 

63. log { source(src); filter(f_mailwarn); destination(mailwarn); }; 

64.  

65. destination mailerr  { file("/var/log/mail.err" fsync(yes)); }; 

66. log { source(src); filter(f_mailerr);  destination(mailerr); }; 

67.  

68. destination mail { file("/var/log/mail"); }; 

69. log { source(src); filter(f_mail); destination(mail); }; 

70.  

71. destination acpid { file("/var/log/acpid"); }; 

72. destination null { }; 

73. log { source(src); filter(f_acpid); destination(acpid); flags(final); }; 

74.  

75. log { source(src); filter(f_acpid_full); destination(null); flags(final); }; 

76.  

77. log { source(src); filter(f_acpid_old); destination(acpid); flags(final); }; 

78.  

79. destination netmgm { file("/var/log/NetworkManager"); }; 

80. log { source(src); filter(f_netmgm); destination(netmgm); flags(final); }; 

81.  

82. destination localmessages { file("/var/log/localmessages"); }; 

83. log { source(src); filter(f_local); destination(localmessages); }; 

84.  

85. destination messages { file("/var/log/messages"); }; 

86. log { source(src); filter(f_messages); destination(messages); }; 

87.  

88. destination firewall { file("/var/log/firewall"); }; 

89. log { source(src); filter(f_iptables); destination(firewall); }; 

90.  

91. destination warn { file("/var/log/warn" fsync(yes)); }; 

92. log { source(src); filter(f_warn); destination(warn); }; 

93.  

94. filter f_ha         { facility(local5); }; 

95. destination hamessages { file(/var/log/ha); }; 

96. log { source(src); filter(f_ha); destination(hamessages); }; 

 

3.6 syslog-ng 的扩展项:

syslog-ng除了有全局选项参数外，不同的函数还可以定义其参数，其中包括：
1、扩展file的宏 引用

HOST 日志消息的源发主机名。如果日志消息穿过几个主机，并且chain_hostname（）功能已经打开，就使用第一个主机名。 
FACILITY ：日志消息来自的日志设备 
PRIOPRITY/LEVEL ：日志消息的优先级 
PROGRAM ：发送日志消息的程序 
YEAR ：发送日志消息的年份，这个宏既可以指定日志消息送出的时间，也可以指定日志消息收到的时间。这由use_time_recvd（）选项控制 
MONTH ：发送日志消息的月份 
DAY ：发送日志消息的日子 
HOUR ：小时 
MIN ： 分钟
SEC ：秒

2、file的参数
例如：log_file_size（）、sync（）、owner（）、perm（）等，请参考上面的全局设定
3、tcp和upd的参数 引用

ip（xxx.xxx.xxx.xxx）： 定义绑定的IP地址
port（n）：定义绑定的端口
max-connections（n） ： 定义最大连接数

※TCP基于连接方式传输，不会造成日志丢失，而UDP则不同。但因为传统的syslog基于UDP的514端口，所以，UDP方式也经常会使用到。
另外，514也是rshell的默认端口，请注意冲突。
举例：

destination d_mail { file("/var/log/maillog" sync(10)); };
这里定义的sync(10)会覆盖全局配置，表示若写入的日志数量达到10，才写入maillog文件。

3.6 syslog-ng 的扩展项template选项用法:

1.例1：設定存入資料庫的目的：

destination d_mysql {pipe("/tmp/mysql.pipe"template("INSERT INTO logs (host, facility, priority, level, tag, date, time, program, msg) VALUES ( '$HOST', '$FACILITY', '$PRIORITY', '$LEVEL', '$TAG', '$YEAR-$MONTH-$DAY', '$HOUR:$MIN:$SEC', '$PROGRAM', '$MSG' );\n") template-escape(yes));};

#temple定义输出格式（时间，日志级别，信息），具体参考file宏

2.例2：

 template ws_fmt {template("$DATE $PRIORITY $MSG\n"); template_escape(no); };

 

3.7 syslog-ng 关于垃圾收集状态:

当满足一定的条件，syslog-ng即会进入垃圾收集状态，而暂时不再接受日志信息。这时，会造成非连接的传输协议的日志丢失（例如UDP）。通过设置下面两个选项可以控制：

gc_idle_threshold(n) ：
意思是，一旦被分派的对象到达这个数字，并且当syslog-ng空闲时（100微秒内没有日志消息到达）。此时，syslog-ng就会启动垃圾信息收集状态。
已分配的对象可通过-v命令行参数指定其的最小值。而syslog-ng这个值应该比较小，但比已分配的对象要大即可。

例如，空闲状态，syslog-ng会显示：

Nov 13 16:35:35 syslogng syslog-ng[4510]: STATS: dropped 0
Nov 13 16:45:35 syslogng syslog-ng[4510]: STATS: dropped 0

当忙时：

gc_busy_threshold(n) ：当syslog-ng忙时，一旦分派的对象达到这个数字，syslog-ng就进入垃圾信息收集状态的时间。该值应该比较高，以保证正常情况下不会打断日志消息的收取。

 

3.8 使用方法及案例:

如：

1.安装:ubuntu下安装方法: apt-get install syslog-ng

 2.配置syslog-ng.conf文件，在目录：/etc/syslog-ng/syslog-ng.conf

 3.将配置好的syslog-ng.conf替换源文件

 4.配置syslog-ng文件，在目录:/etc/logrotate.d/syslog-ng

 5.启动log服务:/etc/init.d/syslog-ng restart

     若不增加其他设定,可以通过下面的简单命令即可替换原syslog服务:

# service syslog stop
# service syslog-ng start

3.9 参考资料:

man syslog-ng.conf
man 8 syslog-ng