4. rsyslog 配置文件语法：rsyslog.conf 结构、规则行语法、模板与动作

rsyslog 的配置文件 rsyslog.conf 是系统日志路由的核心。理解其语法结构，是进行日志分类、格式化与远程转发的基石。本章将深入剖析配置文件的三大核心要素：文件结构、规则行 (Rule Line)、模板 (Template) 与 动作 (Action)。

4.1 rsyslog.conf 文件结构

一个典型的 rsyslog.conf 文件由三大部分组成，通常按顺序排列：

4.2 规则行 (Rule Line) 语法

规则行是 rsyslog 配置的核心逻辑单元，其标准语法格式为：

selector  action

Selector（选择器） 由 设施 (Facility) 和 优先级 (Priority) 组成，中间用点号 . 分隔。多个选择器可用分号 ; 分隔。

Action（动作） 定义日志的输出目标，可以是本地文件、远程服务器、用户终端或管道等。

4.2.1 设施 (Facility) 与优先级 (Priority)

4.2.2 选择器比较符

除了标准的点号 .，rsyslog 还提供了更精确的比较符：

• . (点号)：表示“大于等于”指定优先级。例如 mail.err 匹配 mail 设施的 err、crit、alert、emerg 级别。
• .= (点等号)：表示“等于”指定优先级。例如 mail.=err 只匹配 mail 设施的 err 级别。
• .! (点感叹号)：表示“排除”指定优先级及更高。例如 mail.!err 匹配 mail 设施的 debug、info、notice、warning 级别。

4.2.3 规则行示例

# 将所有内核日志（除调试信息外）写入 /var/log/kern.log
kern.*;kern.!debug                        /var/log/kern.log

# 将所有设施的 info 及以上级别日志（除 mail 和 authpriv）写入 /var/log/messages
*.info;mail.none;authpriv.none            /var/log/messages

# 将所有设施的 emerg 级别日志广播到所有登录用户
*.emerg                                   :omusrmsg:*

# 将 local0 设施的 crit 及以上级别日志发送到远程服务器
local0.crit                               @@192.168.1.100:514

4.3 模板 (Template)

模板用于定义日志消息的输出格式。rsyslog 提供了丰富的内置模板，也支持用户自定义模板。模板在远程日志收集中尤为重要，因为它决定了接收端解析日志的难易程度。

4.3.1 模板定义语法

template(name="TemplateName" type="string" string="%msg% %timegenerated%\\n")
template(name="TemplateName" type="list") {
    constant(value="[")
    property(name="timereported" dateFormat="rfc3339")
    constant(value="] ")
    property(name="msg")
    constant(value="\\n")
}

• type="string"：使用字符串格式，通过 %property% 引用属性。
• type="list"：使用列表格式，更灵活，支持 constant() 和 property() 函数。

4.3.2 常用内置属性

4.3.3 模板应用示例

# 定义 JSON 格式模板，用于远程收集
template(name="json-template" type="list") {
    constant(value="{")
    constant(value="\"timestamp\": \"")    property(name="timereported" dateFormat="rfc3339")
    constant(value="\", \"host\": \"")     property(name="hostname")
    constant(value="\", \"facility\": \"") property(name="syslogfacility-text")
    constant(value="\", \"severity\": \"") property(name="syslogseverity-text")
    constant(value="\", \"tag\": \"")      property(name="syslogtag")
    constant(value="\", \"message\": \"")  property(name="msg")
    constant(value="\"}")
    constant(value="\\n")
}

# 在动作中引用模板
local0.*  action(type="omfwd" target="192.168.1.100" port="514" protocol="tcp"
                 template="json-template")

4.4 动作 (Action)

动作定义了日志的最终去向。rsyslog 支持多种动作类型，以下是最常用的几种：

4.5 综合配置示例

以下是一个完整的 /etc/rsyslog.d/remote.conf 示例，展示了规则行、模板和动作的协同工作：

# 加载 TCP 模块
module(load="imtcp")
input(type="imtcp" port="514")

# 定义 JSON 模板
template(name="json-format" type="list") {
    constant(value="{")
    constant(value="\"@timestamp\": \"")    property(name="timereported" dateFormat="rfc3339")
    constant(value="\", \"host\": \"")      property(name="hostname")
    constant(value="\", \"facility\": \"")  property(name="syslogfacility-text")
    constant(value="\", \"severity\": \"")  property(name="syslogseverity-text")
    constant(value="\", \"program\": \"")   property(name="programname")
    constant(value="\", \"pid\": \"")       property(name="procid")
    constant(value="\", \"message\": \"")   property(name="msg")
    constant(value="\"}")
    constant(value="\\n")
}

# 规则行：将 local0 设施的 crit 及以上级别日志发送到远程
local0.crit  action(type="omfwd"
                    target="192.168.1.100"
                    port="514"
                    protocol="tcp"
                    template="json-format"
                    queue.type="linkedlist"
                    queue.size="10000")

# 规则行：将所有设施的 info 及以上级别日志写入本地文件
*.info;mail.none;authpriv.none;cron.none  /var/log/messages

# 规则行：将内核的 emerg 级别日志广播给所有用户
kern.emerg  :omusrmsg:*