☰

从 syslogd 迁移到 syslog-ng 期间的 FQDN

tag-icon • tag-icon linux syslog sles
从 syslogd 迁移到 syslog-ng 期间的 FQDN

我正在 SLES 9 服务器上从 syslogd 迁移到 syslog-ng（syslog-ng 的现有版本为 1.6.8）。该服务器恰好是一些远程记录器的日志主机。

如何配置 syslog-ng 以确保最大限度在日志中打印主机名时，与 syslogd 行为的兼容性如何？有一些自定义脚本可以分析日志，这些脚本可能依赖于主机名保持不变。其中一些已被 syslogd 报告为 FQDN，如果现在将它们剥离，肯定会发生名称冲突。

顺便说一句，我没有使用 syslogd -s 或 -l 选项来剥离 FQDN。

以下是我目前对 syslog-ng 选项的研究快照（更新：这是不正确的，请参阅我的自我回答)：

options {
        check_hostname(yes);    # invalid chars?
        keep_hostname(yes);     # yes - if there is a hostname embedded in the message, it will
                                #   be kept without overwrite/append
                                #   see https://lists.balabit.hu/pipermail/syslog-ng/2002-August/003669.html
                                #   note: RFC3164 allows either short hostname or IP, no FQDN

        use_dns(yes);           # if there is no hostname embedded in the message, try DNS

        use_fqdn(no);           # do not try to expand everything to FQDN? strip all FQDNs? strip only DNS-resolved FQDNs?
                                # old syslogd behaviour (?): use embedded hostname, print fqdn (strip only local
                                #   domain + strip "-s" domains + strip domains for "-l" hosts)

        chain_hostnames(no);    # if keep_hostname(no) or hostname not embedded, attach (rather than assign)
                                #   hostname/IP of *sender*; same as long_hostnames(off)

        sync(0);                # sync immediately
};

我发现 syslog-ng 手册有些不够完善。

答案1

自我回答。似乎不可能模仿 syslogd 的行为。经过大量实验，我提供了对 syslog-ng 选项的研究/猜测的最新快照：

options {
        #####################################################################
        ### the flow of decisions for hostnames, syslog-ng 1.6.8:

        use_dns(yes);           # yes = first resolve the IP in $HOST_FROM (the message sender)

        keep_hostname(no);      # no = ignore $HOST embedded in the message (rare); overwrite $HOST with $HOST_FROM
                                #   note: RFC3164 allows embedding short hostname or IP, not FQDN

        use_fqdn(yes);          # yes = expand everything to FQDN, including local name
                                # Note syslogd behaviour is incompatible: use FQDN, but strip local
                                #   domain + strip "-s" domains + strip domains for "-l" hosts

        chain_hostnames(no);    # no = keep $FULLHOST same as $HOST; 
                                #   do not expand $FULLHOST into either "src@$HOST" for localhost, 
                                #   or to "$HOST/$HOST_FROM" for remote client

        #long_hostnames(no);    # synonym of chain_hostnames

        ### with default template, the resulting $FULLHOST is written to log
        #####################################################################

        check_hostname(yes);    # invalid chars?

        sync(0);                # sync immediately
};

我发现来自我的远程系统的消息可能没有嵌入主机名，这导致 keep_hostname 无用。

答案2

您拥有的选项可能就是您想要的，除了use_dns(yes);。启用它将导致 syslog-ng 对日志来源的 IP 地址进行 DNS 查找。这是一个大的性能受到影响（DNS查找作为日志进入，syslog-ng必须阻止，因为它在DNS查找返回之前无法写入日志），这也意味着如果日志不包含条目，syslog-ng将尝试使用DNS主机名填充它，而传统的syslog将使用日志源的IP地址填充它。

老实说，您绝对需要的唯一行是keep_hostname(yes);和（只是为了排除无效字符），check_hostname(yes);其余的不会造成任何损害，但不是严格要求的（唯一的例外是use_dns(yes);，如上所述，您不想要）。

答案3

为了减少名称解析的性能影响，您还可以尝试以下技巧： http://www.balabit.com/dl/html/syslog-ng-v3.0-guide-admin-en.html/ch07s04.html

“我发现 syslog-ng 手册有些不完善。” > 欢迎在以下网址对 syslog-ng 手册和文档提出评论和反馈：[电子邮件保护]或 syslog-ng 邮件列表 (https://lists.balabit.hu/mailman/listinfo/syslog-ng）。

请让我知道 use_dns(yes) 选项是否适合您的情况，我将尝试在下一个版本中使文档的这一部分更加清晰。

相关内容