《rsyslog与MySQL日志入库配置指南》
在IT运维中，日志管理是一项至关重要的任务，它有助于监控系统状态、排查问题以及确保数据安全。rsyslog是一款广泛使用的日志收集工具，而MySQL是常用的数据库系统。将rsyslog与MySQL结合，可以实现日志的有效存储和查询，为系统管理和故障诊断提供便利。本文将详细讲解如何配置rsyslog以将日志数据入库到MySQL。
一、rsyslog服务器配置
在CentOS 6.5系统中，首先需要安装rsyslog-mysql插件，执行`yum install rsyslog-mysql`进行安装。接下来，我们需要修改rsyslog的配置文件，路径通常位于`/etc/rsyslog.conf`。
1. **添加数据库模块**：在配置文件中，找到并启用`$ModLoad immysql`，这允许rsyslog将日志数据写入MySQL数据库。
2. **开启UDP监听**：取消`$ModLoad imudp`和`$UDPServerRun 514`行的注释，这样rsyslog就能接收来自其他主机的日志数据。
3. **配置入库规则**：在文件底部或适当位置添加配置，指定哪些日志信息需要入库。例如，可以使用以下模板定义日志入库的格式：
```
template StdSQLFormat,"insert into SystemEvents (Message, Facility, FromHost, Priority, DeviceReportedTime, ReceivedAt, InfoUnitID, SysLogTag) values ('%msg%', %syslogfacility%, '%fromhost-ip%', %syslogpriority%, '%timereported:::date-mysql%', '%timegenerated:::date-mysql%', %iut%, '%syslogtag%')"
```
这个模板指定了日志字段与数据库表字段的对应关系。
二、rsyslog客户端配置
在需要发送日志的客户端，同样需要编辑`/etc/rsyslog.conf`配置文件。
1. **开启UDP端口**：取消`$InputUDPServerRun 514`前的注释，启动UDP服务，监听514端口，接收日志信息。
2. **设置日志转发**：在文件末尾添加一条规则，指定所有日志（`*.*`）应被发送到rsyslog服务器的IP地址，如`*.* @@server_ip:514`。
三、MySQL数据库准备
在MySQL服务器上，你需要创建一个用于存储日志的数据库和表。以下是一个简单的示例：
```sql
CREATE DATABASE SystemLogs;
USE SystemLogs;
CREATE TABLE SystemEvents (
ID INT AUTO_INCREMENT PRIMARY KEY,
Message TEXT NOT NULL,
Facility VARCHAR(50),
FromHost VARCHAR(255),
Priority INT,
DeviceReportedTime TIMESTAMP,
ReceivedAt TIMESTAMP,
InfoUnitID INT,
SysLogTag VARCHAR(255)
);
```
四、启动和测试
完成上述配置后，重启rsyslog服务 (`service rsyslog restart`) 和 MySQL服务 (`service mysqld restart`)。现在，rsyslog客户端会将日志发送到服务器，并由rsyslog服务器将日志数据写入MySQL数据库。
为了验证配置是否正确，可以在MySQL服务器上查询`SystemEvents`表，查看是否有新记录。同时，可以在rsyslog客户端生成一些测试日志，观察是否能成功传送到服务器并入库。
通过这样的配置，我们可以实现rsyslog和MySQL的紧密集成，提供高效、可扩展的日志管理系统。然而，实际环境中可能需要根据具体需求进行更复杂的过滤、分发和分析配置，例如使用日志分析工具（如Logstash或Graylog）进一步处理和可视化日志数据。理解并掌握rsyslog与MySQL的配置，是提升系统监控能力的重要一步。
