首先配置中央日志服务器启用TCP接收并设置独立存储路径，再在客户端配置日志转发至服务器，最后通过验证连接与测试日志确保传输正常。

在Linux系统中，日志集中化采集是运维管理的重要环节。通过将多台服务器的日志统一收集到中央日志服务器，可以提升故障排查效率、增强安全审计能力。Rsyslog 是 Linux 下功能强大的日志处理服务，支持过滤、转发和存储日志，非常适合用于构建日志集中化系统。

配置Rsyslog作为中央日志服务器

要实现日志集中化，首先需要搭建一台中央日志服务器，接收来自客户端的日志信息。

1. 启用网络日志接收功能

编辑 Rsyslog 主配置文件：

sudo vi /etc/rsyslog.conf

取消以下两行的注释以启用 UDP 或 TCP 接收（推荐使用 TCP 更稳定）：

• $ModLoad imtcp
• $InputTCPServerRun 514

保存并重启服务：

sudo systemctl restart rsyslog

2. 配置日志存储路径

为不同客户端创建独立的日志文件，便于管理。例如，按主机名分类：

在 /etc/rsyslog.conf 或新建 /etc/rsyslog.d/remote.conf 中添加：

• $template RemoteHost,"/var/log/remote/%HOSTNAME%/%$YEAR%-%$MONTH%-%$DAY%.log"
• *.* ?RemoteHost

该配置会将所有收到的日志按主机名和日期存入 /var/log/remote/ 目录下。

3. 创建日志目录并设置权限

sudo mkdir -p /var/log/remote

sudo chown -R syslog:syslog /var/log/remote

配置客户端发送日志到服务器

在需要上报日志的客户端机器上，配置 Rsyslog 将日志转发至中央服务器。

1. 编辑客户端 rsyslog 配置

sudo vi /etc/rsyslog.conf

在文件末尾添加以下内容（假设服务器IP为 192.168.1.100）：

• *.* @@192.168.1.100:514

使用 @@ 表示 TCP 协议，@ 表示 UDP 协议。

2. 重启客户端服务

sudo systemctl restart rsyslog

3. 验证连接

使用 telnet 或 nc 检查端口连通性：

nc -zv 192.168.1.100 514

安全与优化建议

在生产环境中部署时，需考虑安全性与性能。

• 使用防火墙限制仅允许受信任主机访问 514 端口
• 配合 TLS 加密传输（需配置证书）防止日志泄露
• 定期归档和清理远程日志，避免磁盘溢出
• 结合 logrotate 管理日志文件大小

验证日志是否正常接收

在服务端查看指定主机日志目录：

ls /var/log/remote/

或实时监控：

tail -f /var/log/remote/client-hostname/2025-04-05.log

在客户端手动写入测试日志：

logger "This is a test message"

观察服务端是否接收到该消息。

基本上就这些。Rsyslog 配置灵活，适合中小规模环境快速实现日志集中化。不复杂但容易忽略的是网络连通性和模板路径权限问题，部署时注意检查。