如何过滤 Red Hat 上的远程系统日志消息？

Question

我在运行 Red Hat 6 的服务器上使用统一日志，接收来自其他服务器的定向日志消息并使用 RSyslog 管理它们。到现在为止，/etc/rsyslog.conf都有这条规则：

if $fromhost-ip startswith '172.20.' then /var/log/mylog.log

但我不想记录包含“kernel”和“dnat”的消息，所以我想过滤所有消息，增强规则。

我该怎么做？

Answer 1

这似乎是一个更适合Unix & Linux 的问题。在适当地通知这不是正确的地方之后，无论如何我都会去打破规则回答它。

根据您使用的 Red Hat 版本，您可以使用 rsyslogd 的 conditional filters 或 RainerScript 以各种方式表达多个逻辑规则的组合。在 Red Hat 6 上，您可以这样说来使用条件过滤器完成您想要的：

if ( $fromhost-ip startswith '172.20.' and \
     $syslog-facility-text != 'kern' ) then /var/log/mylog.log

您可以从Rsyslog v5 manual 中找到更多示例。