我正在尝试将我的 apache 日志转发到 rsyslog，然后再转发到 splunk

Question

我正在尝试通过 rsyslog 将我的所有 apache 和 drush 日志转发到我的 Splunk 服务器。

首先，在我的 /etc/httpd/conf/httpd.conf 文件中更改条目：

ErrorLog var/log/httpd/error_log

到：

ErrorLog syslog:local1

如所述：http://wiki.rsyslog.com/index.php/Working_Apache_and_Rsyslog_configuration

然后在 /etc/rsyslog.conf 中，我添加：

# Save apache messages to apache.log
local1.*                                                /var/log/apache.log

让日志以 local1 为前缀。到本地文件 /var/log/apache.log 然后：

local1.* @@splunk.myserver.com:8002

我的 splunk 服务器设置为侦听端口 8002 上的 tcp 连接。 我还没有尝试过drush。问题是 apache 可以很好地记录到以前的设置以记录到 /var/log/httpd/error_log，但是在我进行更改后，没有任何东西进入 /var/log/apache.log 或我的 splunk 服务器。
更改 conf 文件后，我重新启动 rsyslog 和 apache。

Answer 1

我遇到了同样的事情

我按照以下方式修复它： 1 创建错误日志，例如访问http://192.168.1.10/sadaf.php。那么看看/var/error.log有没有呢？

如果有的话，我测试splunk server使用端口514，sourcetype使用syslog。 你可以试试。