Syslog-ng下一代系统日志工具

syslog-ng的一个设计原则就是建立更好的消息过滤粒度。syslog-ng能够进行基于内容和优先权/facility的过滤。另一个设计原则是更容易进行不同防火墙网段的信息转发，它支持主机链，即使日志消息经过了许多计算机的转发，也可以找出原发主机地址和整个转发链。最后的一个设计原则就是尽量使配置文件强大和简洁。

快速开始

最简单的配置从/ dev / log（从应用程序或systemd转发）接受系统日志，并将所有内容写入单个文件：

@version: 3.28
@include "scl.conf"

log {
	source { system(); };
	destination { file("/var/log/syslog"); };
};

这另外处理来自网络的日志（默认情况下为TCP / 514）：

@version: 3.28
@include "scl.conf"

log {
	source {
		system();
		network();
	};
	destination { file("/var/log/syslog"); };
};

此配置设计用于结构化/应用程序日志记录，通过JSON使用本地提交，并以key = value格式输出：

@version: 3.28
@include "scl.conf"

log {
	source { system(); };
	destination { file("/var/log/app.log" template("$(format-welf --subkeys .cim.)\n")); };
};

要使用提交结构化日志logger，您可以运行：

$ logger '@cim: {"name1":"value1", "name2":"value2"}'

在这种情况下，结果消息将是：

name1=value1 name2=value2

有关配置syslog-ng应用程序的简短介绍，请参见快速入门指南。

特征

• 接收和发送RFC3164 和RFC5424样式的系统日志消息
• 接收和发送JSON格式的消息
• 处理任何类型的非结构化数据
• 使用内置解析器（csv-parser（），db-parser（），kv-parser（）等）对日志进行分类和结构化
• 在日志流过系统时对其进行规范化，处理和处理
• 使用文件，消息队列（例如AMQP）或数据库（例如 PostgreSQL或 MongoDB）来移交日志以进行进一步处理
• 将日志转发到大数据工具（例如Elasticsearch， Apache Kafka或 Apache Hadoop）

性能

• syslog-ng在单个节点上运行时可提供与大型群集相当的性能水平
• 在最简单的用例中，它每秒可扩展至600-800k条消息
• 但是分类，解析和过滤仍然每秒产生数万条消息