syslog日志收集器
syslog 是 Linux 和其他类 Unix 操作系统中用于存储系统日志的标准协议。它不仅定义了如何记录事件，还规定了这些事件应该如何在网络上传输。在 Linux 系统中，syslog 通常由一个守护进程（daemon）来管理，这个守护进程负责接收来自不同应用程序和服务的日志信息，并将它们写入到适当的文件或通过网络发送给其他服务器。
为什么使用syslog
使用 syslog 收集日志有许多好处，特别是在企业级环境中。以下是使用 syslog 收集日志的一些主要优势：
集中管理 统一存储：通过 syslog，可以将来自多个设备和系统的日志集中存储在一个中心位置。这使得日志管理和分析更加方便。 简化监控：集中管理的日志可以更容易地进行实时监控和报警，帮助及时发现和解决问题。
标准化 通用协议：syslog 是一个广泛支持的标准协议，几乎所有的网络设备和操作系统都支持 syslog 日志记录。 一致性：使用 syslog 可以确保日志格式的一致性，便于后续的分析和处理。
可扩展性 灵活配置：syslog 允许灵活配置日志的来源、级别和目标，可以根据需要进行调整。 分布式架构：可以轻松地扩展到多个日志服务器，支持高可用性和负载均衡。
安全性和可靠性 加密传输：现代 syslog 实现支持通过 TLS/SSL 等协议加密日志数据，确保传输过程中的安全性。 持久化存储：可以配置 syslog 服务器将日志数据持久化存储，防止数据丢失。 冗余备份：支持日志数据的冗余备份，提高数据的可靠性和可用性。
性能优化 异步处理：syslog 支持异步日志处理，不会影响应用程序的性能。 高效传输：syslog 协议设计为轻量级，适合大规模日志传输。
易于集成 第三方工具：许多第三方日志管理和分析工具（如 ELK Stack、Splunk、Graylog 等）都支持 syslog，可以轻松集成。 API 支持：许多现代 syslog 实现提供了丰富的 API，便于与其他系统和服务集成。
合规性和审计 法规遵从：集中管理和存储的日志有助于满足各种法规和标准的要求，如 GDPR、HIPAA 等。 审计追踪：详细的日志记录可以提供完整的审计追踪，帮助进行安全审计和故障排查。
自动化和脚本支持 脚本编写：可以编写脚本自动化日志的收集、处理和分析过程。 事件响应：可以配置自动化事件响应机制，根据日志内容触发特定的操作。
资源利用率 节省存储空间：通过配置日志轮转和压缩，可以有效节省存储空间。 减少带宽占用：通过过滤和压缩日志数据，可以减少网络带宽的占用。
社区和支持 广泛的社区：syslog 有一个活跃的社区，提供了大量的文档、教程和最佳实践。 商业支持：许多供应商提供商业支持和高级功能，适用于企业级应用。
日志级别
syslog 定义了多个日志级别，用于标识消息的重要性。这些级别从最不严重到最严重依次为： DEBUG: 用于调试目的的信息。 INFO: 一般性的信息。 NOTICE: 正常但重要的情况。 WARNING: 警告性信息，表示存在潜在的问题。 ERR: 错误信息，表示发生了一些错误。 CRIT: 临界状态，表示有严重的错误发生。 ALERT: 必须立即采取行动的情况。 EMERG: 系统不可用，这是最严重的级别。
配置文件
syslog 的配置文件通常是 /etc/syslog.conf
rsyslog
在centos6以后，linux开始使用用rsyslog，rsyslog其实是syslog的增强版本，在syslog原来的基础上，支持日志过滤，日志转发，数据库记录等功能。配置文件在/etc/rsyslog.conf
#### GLOBAL DIRECTIVES ####
# Where to place auxiliary files
global(workDirectory="/var/lib/rsyslog")
# Use default timestamp format
module(load="builtin:omfile" Template="RSYSLOG_TraditionalFileFormat")
#### MODULES ####
module(load="imuxsock" # provides support for local system logging (e.g. via logger command)
SysSock.Use="off") # Turn off message reception via local log socket;
# local messages are retrieved through imjournal now.
module(load="imjournal" # provides access to the systemd journal
UsePid="system" # PID nummber is retrieved as the ID of the process the journal entry originates from
FileCreateMode="0644" # Set the access permissions for the state file
StateFile="imjournal.state") # File to store the position in the journal
#module(load="imklog") # reads kernel messages (the same are read from journald)
#module(load="immark") # provides --MARK-- message capability
# Include all config files in /etc/rsyslog.d/
include(file="/etc/rsyslog.d/*.conf" mode="optional")
# Provides UDP syslog reception
# for parameters see http://www.rsyslog.com/doc/imudp.html
#module(load="imudp") # needs to be done just once
#input(type="imudp" port="514")
# Provides TCP syslog reception
# for parameters see http://www.rsyslog.com/doc/imtcp.html
#module(load="imtcp") # needs to be done just once
#input(type="imtcp" port="514")
#### RULES ####
# Log all kernel mes