仅转发某些包含条件的日志的语法

Question

仅当日志包含某个关键字时我才需要转发日志。我通过在 rsyslog.conf 中添加这一行来实现这一点。

:msg, !contains, "xyz" ~

我知道这种情况意味着如果日志包含“xyz”以外的任何内容，则不转发它，但它所做的也是完全丢弃日志，甚至不将其打印在本地系统日志中。有人可以为我提供一个简单的语法，该语法可以为所有情况写入日志，但仅针对某些关键字转发日志。我将非常感激。

Answer 1

好吧，我自己想出来了。我需要添加这个表达式。可惜事情就是这么简单。

if $msg contains 'xyz'
then @@xxx.xx.xx.xxx:518

这始终记录到本地系统日志，但仅当日志包含单词“xyz”时才记录到远程计算机