请问rsyslog怎么配置client端，只向服务器发送message ，secure ，cron ，spooler， boot.log日志内容

Question

请问rsyslog怎么配置client端，只向服务器发送/var/log/message 系统启动后的信息和错误日志 /var/log/secure 与安全相关的日志信息 /var/log/cron 与定时任务相关的日志信息 /var/log/spooler 与UUCP和news设备相关的日志信息
/var/log/boot.log 守护进程启动和中止相关的日志消息内容，其他的内容不用发送

Answer 1

回答申明：包含AI辅助答案参考ChatGPT Plus版
要配置rsyslog客户端只发送特定日志文件到服务器，您可以按照以下步骤进行操作：

1. 打开rsyslog配置文件：通常，rsyslog的配置文件位于 /etc/rsyslog.conf 或 /etc/rsyslog.d/ 目录下。

2. 添加日志过滤规则：在配置文件中添加过滤规则，以仅发送特定日志文件的内容到服务器。在配置文件的末尾添加以下内容：

# 发送/var/log/message
if $programname == 'kernel' and $msg contains '.*' then @服务器IP地址:514
& ~

# 发送/var/log/secure
if $programname == 'sshd' or $programname == 'sudo' then @服务器IP地址:514
& ~

# 发送/var/log/cron
if $programname == 'cron' then @服务器IP地址:514
& ~

# 发送/var/log/spooler
if $programname == 'uucp' or $programname == 'news' then @服务器IP地址:514
& ~

# 发送/var/log/boot.log
if $programname == 'systemd' then @服务器IP地址:514
& ~

请将上述代码中的 服务器IP地址 替换为实际的服务器IP地址。

1. 保存并关闭配置文件。

2. 重启rsyslog服务：执行以下命令以重新启动rsyslog服务，使配置生效：

sudo service rsyslog restart

配置完成后，rsyslog客户端将只发送指定的日志文件内容到服务器。请确保服务器上已配置好相应的接收规则以接收并处理这些日志消息。

注意：上述配置仅针对特定的程序名称和消息内容进行过滤。如果日志文件中的其他内容也包含相同的程序名称或消息内容，则可能会被发送到服务器。如果您需要更精确的过滤规则，请根据实际情况进行调整。