首先配置中央日志服务器启用TCP接收并设置独立存储路径，再在客户端配置日志转发至服务器，最后通过验证连接与测试日志确保传输正常。
在Linux系统中，日志集中化采集是运维管理的重要环节。通过将多台服务器的日志统一收集到中央日志服务器，可以提升故障排查效率、增强安全审计能力。Rsyslog 是 Linux 下功能强大的日志处理服务，支持过滤、转发和存储日志，非常适合用于构建日志集中化系统。
配置Rsyslog作为中央日志服务器
要实现日志集中化，首先需要搭建一台中央日志服务器，接收来自客户端的日志信息。
1. 启用网络日志接收功能
编辑 Rsyslog 主配置文件：
// 编辑配置文件sudo vi /etc/rsyslog.conf
取消以下两行的注释以启用 UDP 或 TCP 接收（推荐使用 TCP 更稳定）：
- $ModLoad imtcp
- $InputTCPServerRun 514
保存并重启服务：
sudo systemctl restart rsyslog
2. 配置日志存储路径
为不同客户端创建独立的日志文件，便于管理。例如，按主机名分类：
在 /etc/rsyslog.conf 或新建 /etc/rsyslog.d/remote.conf 中添加：
- $template RemoteHost,"/var/log/remote/%HOSTNAME%/%$YEAR%-%$MONTH%-%$DAY%.log"
- *.* ?RemoteHost
该配置会将所有收到的日志按主机名和日期存入 /var/log/remote/ 目录下。
3. 创建日志目录并设置权限
sudo mkdir -p /var/log/remote
sudo chown -R syslog:syslog /var/log/remote
配置客户端发送日志到服务器
在需要上报日志的客户端机器上，配置 Rsyslog 将日志转发至中央服务器。
1. 编辑客户端 rsyslog 配置
sudo vi /etc/rsyslog.conf
在文件末尾添加以下内容（假设服务器IP为 192.168.1.100）：
- *.* @@192.168.1.100:514
使用 @@ 表示 TCP 协议，@ 表示 UDP 协议。
2. 重启客户端服务
sudo systemctl restart rsyslog
3. 验证连接
使用 telnet 或 nc 检查端口连通性：
nc -zv 192.168.1.100 514
安全与优化建议
在生产环境中部署时，需考虑安全性与性能。
- 使用防火墙限制仅允许受信任主机访问 514 端口
- 配合 TLS 加密传输（需配置证书）防止日志泄露
- 定期归档和清理远程日志，避免磁盘溢出
- 结合 logrotate 管理日志文件大小
验证日志是否正常接收
在服务端查看指定主机日志目录：
ls /var/log/remote/
或实时监控：
tail -f /var/log/remote/client-hostname/2024-04-05.log
在客户端手动写入测试日志：
logger "This is a test message"
观察服务端是否接收到该消息。
基本上就这些。Rsyslog 配置灵活，适合中小规模环境快速实现日志集中化。不复杂但容易忽略的是网络连通性和模板路径权限问题，部署时注意检查。
