Aturan ditentukan oleh bagian filter, yang memilih subset pesan syslog, dan bagian action, yang menentukan apa yang harus dilakukan dengan pesan yang dipilih. Untuk menentukan aturan dalam berkas konfigurasi /etc/rsyslog.conf Anda, tentukan keduanya, filter dan tindakan, pada satu baris dan memisahkan mereka dengan satu atau beberapa spasi atau tab.

rsyslog menawarkan berbagai cara untuk memfilter pesan syslog sesuai dengan properti yang dipilih. Metode pemfilteran yang tersedia dapat dibagi menjadi Filter berbasis Fasilitas/Prioritas, Berbasis properti, dan Berbasis ekspresi.

dimana:

Sintaks yang disebutkan di atas memilih pesan syslog dengan prioritas yang ditentukan atau lebih tinggi. Dengan mendahului kata kunci prioritas apa pun dengan tanda sama dengan (=), Anda menentukan bahwa hanya pesan syslog dengan prioritas yang ditentukan yang akan dipilih. Semua prioritas lainnya akan diabaikan. Sebaliknya, sebelum kata kunci prioritas dengan tanda seru (!) memilih semua pesan syslog kecuali yang memiliki prioritas yang ditentukan.

Selain kata kunci yang ditentukan di atas, Anda juga dapat menggunakan tanda bintang (*) untuk menentukan semua fasilitas atau prioritas (tergantung di mana Anda menempatkan tanda bintang, sebelum atau sesudah koma). Menentukan kata kunci prioritas none berfungsi untuk fasilitas tanpa prioritas yang diberikan. Baik fasilitas dan kondisi prioritas tidak peka huruf besar/kecil.

Untuk menentukan beberapa fasilitas dan prioritas, pisahkan dengan koma (,). Untuk menentukan beberapa pemilih pada satu baris, pisahkan mereka dengan titik koma (;). Perhatikan bahwa setiap pemilih di bidang pemilih mampu menimpa yang sebelumnya, yang dapat mengecualikan beberapa prioritas dari pola.

Filter berbasis properti harus dimulai dengan titik dua (:). Untuk menentukan filter, gunakan sintaks berikut:

dimana:

Sintaks dasar filter berbasis ekspresi terlihat sebagai berikut:

dimana:

Dengan filter berbasis ekspresi, Anda dapat membuat syarat berlapis dengan menggunakan skrip yang diapit kurung kurawal seperti pada Filter berbasis ekspresi. Skrip memungkinkan Anda menggunakan filter facility/priority-based di dalam ekspresi. Di sisi lain, filter berbasis properti tidak direkomendasikan di sini. RainerScript mendukung ekspresi reguler dengan fungsi khusus re_match() dan re_extract().

Lihat Dokumentasi Daring untuk lebih banyak contoh berbagai filter berbasis ekspresi. RainerScript adalah dasar untuk format konfigurasi baru rsyslog, lihat Menggunakan Format Konfigurasi Baru

Tindakan menentukan apa yang harus dilakukan dengan pesan yang difilter oleh pemilih yang sudah ditentukan. Berikut ini adalah beberapa tindakan yang dapat Anda tentukan dalam aturan Anda:

di mana FILTER adalah singkatan dari pemilih yang ditentukan pengguna dan PATH adalah path berkas target.

Misalnya, aturan berikut terdiri dari pemilih yang memilih semua pesan syslog cron dan tindakan yang menyimpannya ke dalam berkas log /var/log/cron.log:

Secara baku, berkas log disinkronkan setiap kali pesan syslog dibuat. Gunakan tanda hubung (-) sebagai prefiks path berkas yang Anda tentukan untuk meniadakan sinkronisasi:

Perhatikan bahwa Anda mungkin kehilangan informasi jika sistem berakhir tepat setelah upaya penulisan. Namun, pengaturan ini dapat meningkatkan kinerja, terutama jika Anda menjalankan program yang menghasilkan pesan log yang sangat bertele-tele.

Path berkas yang Anda tentukan dapat berupa statik atau dinamik. Berkas statik diwakili oleh path berkas tetap seperti yang ditunjukkan pada contoh di atas. Path berkas dinamik dapat berbeda sesuai dengan pesan yang diterima. Path berkas dinamik diwakili oleh templat dan prefiks tanda tanya (?):

di mana DynamicFile adalah nama templat yang telah ditentukan yang memodifikasi path keluaran. Anda dapat menggunakan prefiks tanda hubung (-) untuk menonaktifkan sinkronisasi, juga Anda dapat menggunakan beberapa templat yang dipisahkan oleh titik dua (;) . Untuk informasi selengkapnya tentang templat, lihat Menghasilkan Nama Berkas Dinamik.

Jika berkas yang Anda tentukan adalah perangkat terminal atau /dev/console yang sudah ada, pesan syslog masing-masing dikirim ke keluaran standar (menggunakan penanganan terminal khusus) atau konsol Anda (menggunakan penanganan khusus /dev/console) saat menggunakan X Window System.

dimana:

Saat menentukan alamat IPv6 sebagai host, lampirkan alamat dalam tanda kurung siku ([, ]).

dimana:

Untuk menggunakan saluran keluaran yang ditentukan sebagai tindakan di dalam aturan, ketik:

Di sini keluaran dari kondisi FILTER diproses oleh program yang diwakili oleh EXECUTABLE. Program ini dapat berupa executable yang valid. Ganti TEMPLATE dengan nama templat pemformatan.

dimana:

Tindakan membuang sebagian besar digunakan untuk menyaring pesan sebelum melakukan pemrosesan lebih lanjut. Ini bisa efektif jika Anda ingin menghilangkan beberapa pesan berulang yang jika tidak akan memenuhi berkas log. Hasil tindakan buang tergantung pada di mana dalam berkas konfigurasi ditentukan, untuk hasil terbaik tempatkan tindakan ini di atas daftar tindakan. Harap dicatat bahwa setelah pesan telah dibuang, tidak ada cara untuk mengambilnya di baris berkas konfigurasi nanti.

Misalnya, aturan berikut membuang pesan syslog cron apa pun:

Untuk setiap pemilih, Anda diizinkan untuk menentukan beberapa tindakan. Untuk menentukan beberapa tindakan untuk satu pemilih, tulis setiap tindakan pada baris terpisah dan mendahuluinya dengan karakter ampersand (&):

Menentukan beberapa tindakan meningkatkan kinerja keseluruhan dari hasil yang diinginkan karena pemilih yang ditentukan harus dievaluasi hanya sekali.

Tindakan apa pun dapat diikuti oleh templat yang memformat pesan. Untuk menentukan templat, tambahkan titik koma (;) di akhir tindakan dan tentukan nama templat. Untuk informasi selengkapnya tentang templat, lihat Templat.

Setiap keluaran yang dihasilkan oleh rsyslog dapat dimodifikasi dan diformat sesuai dengan kebutuhan Anda dengan menggunakan templat. Untuk membuat templat, gunakan sintaks berikut di /etc/rsyslog.conf:

dimana:

Templat dapat digunakan untuk menghasilkan nama berkas dinamis. Dengan menentukan properti sebagai bagian dari path berkas, berkas baru akan dibuat untuk setiap properti unik, yang merupakan cara mudah untuk mengklasifikasikan pesan syslog.

Misalnya, gunakan properti timegenerated, yang mengekstrak stempel waktu dari pesan, untuk menghasilkan nama berkas unik untuk setiap pesan syslog:

Perlu diingat bahwa direktif $template hanya menentukan templat. Anda harus menggunakannya di dalam aturan agar berlaku. Di /etc/rsyslog.conf, gunakan tanda tanya (?) dalam definisi tindakan untuk menandai templat nama berkas dinamis:

Properti yang didefinisikan di dalam templat (antara dua tanda persen (%)) memungkinkan akses ke berbagai konten pesan syslog melalui penggunaan pengganti properti. Untuk menentukan properti di dalam templat (di antara dua tanda kutip (`…​ ")), gunakan sintaks berikut:

dimana:

Berikut ini adalah beberapa contoh properti sederhana:

Bagian ini menyajikan beberapa contoh templat rsyslog.

Templat pesan syslog bertele-tele menunjukkan templat yang memformat pesan syslog sehingga menghasilkan tingkat keparahan, fasilitas, stempel waktu pesan, stempel waktu pesan saat pesan diterima, nama host, tag pesan, teks pesan, dan diakhiri dengan baris baru.

Template pesan wall menunjukkan templat yang menyerupai pesan wall tradisional (pesan yang dikirim ke setiap pengguna yang masuk dan memiliki izin mesg(1) yang diatur ke ya). Templat ini mengeluarkan teks pesan, bersama dengan nama host, tag pesan, dan stempel waktu, pada baris baru (menggunakan \r dan \n) dan membunyikan bel (menggunakan \7).

Templat pesan berformat basis data menunjukkan templat yang memformat pesan syslog sehingga dapat digunakan sebagai kueri basis data. Perhatikan penggunaan opsi sql di akhir templat yang ditentukan sebagai opsi templat. Ini memberitahu penulis basis data untuk memformat pesan sebagai query SQL MySQL.

rsyslog juga berisi satu set templat yang telah ditentukan yang diidentifikasi oleh awalan RSYSLOG_. Ini dicadangkan untuk penggunaan syslog dan disarankan untuk tidak membuat templat menggunakan awalan ini untuk menghindari konflik. Daftar berikut menunjukkan templat yang telah ditentukan ini bersama dengan definisinya.

Direktif global adalah opsi konfigurasi yang berlaku untuk daemon rsyslogd. Mereka biasanya menentukan nilai untuk variabel tertentu yang telah didefinisikan yang mempengaruhi perilaku daemon rsyslogd atau aturan yang mengikutinya. Semua direktif global harus dimulai dengan tanda dolar ($). Hanya satu direktif yang dapat ditentukan per baris. Berikut ini adalah contoh direktif global yang menentukan ukuran maksimum antrean pesan syslog:

Ukuran baku yang ditentukan untuk direktif ini (10.000 pesan) dapat ditimpa dengan menentukan nilai yang berbeda (seperti yang ditunjukkan pada contoh di atas).

Anda dapat menentukan beberapa direktif dalam berkas konfigurasi /etc/rsyslog.conf. Direktif memengaruhi perilaku semua opsi konfigurasi hingga kejadian lain dari direktif yang sama terdeteksi. Direktif global dapat digunakan untuk mengonfigurasi tindakan, antrean, dan untuk debugging. Daftar lengkap semua direktif konfigurasi yang tersedia dapat ditemukan di Dokumentasi Daring. Saat ini, format konfigurasi baru telah dikembangkan yang menggantikan sintaks berbasis $ (lihat Menggunakan Format Konfigurasi Baru). Namun, arahan global klasik tetap didukung sebagai format warisan.

Berikut ini adalah contoh berkas konfigurasi /etc/logrotate.conf:

Semua baris dalam berkas konfigurasi sampel menentukan opsi global yang berlaku untuk setiap berkas log. Dalam contoh kami, berkas log diputar setiap minggu, berkas log yang diputar disimpan selama empat minggu, dan semua berkas log yang diputar dikompresi oleh gzip ke dalam format .gz. Setiap baris yang dimulai dengan tanda hash (#) adalah komentar dan tidak diproses.

Anda dapat menentukan opsi konfigurasi untuk berkas log tertentu dan menempatkannya di bawah opsi global. Namun, disarankan untuk membuat berkas konfigurasi terpisah untuk berkas log tertentu di direktori /etc/logrotate.d/ dan menentukan opsi konfigurasi apa pun di sana.

Berikut ini adalah contoh berkas konfigurasi yang ditempatkan di direktori /etc/logrotate.d/:

Opsi konfigurasi dalam berkas ini khusus untuk berkas log /var/log/messages saja. Pengaturan yang ditentukan di sini menimpa pengaturan global jika memungkinkan. Dengan demikian berkas log /var/log/messages yang diputar akan disimpan selama lima minggu, bukan empat minggu seperti yang didefinisikan dalam opsi global.

Berikut ini adalah daftar beberapa direktif yang dapat Anda tentukan dalam berkas konfigurasi logrotate Anda:

For the full list of directives and various configuration options, see the logrotate(5) manual page.

Leaving special directives aside, rsyslog handles messages as defined by rules that consist of a filter condition and an action to be performed if the condition is true. With a traditionally written /etc/rsyslog.conf file, all rules are evaluated in order of appearance for every input message. This process starts with the first rule and continues until all rules have been processed or until the message is discarded by one of the rules.

However, rules can be grouped into sequences called rulesets. With rulesets, you can limit the effect of certain rules only to selected inputs or enhance the performance of rsyslog by defining a distinct set of actions bound to a specific input. In other words, filter conditions that will be inevitably evaluated as false for certain types of messages can be skipped. The legacy ruleset definition in /etc/rsyslog.conf can look as follows:

The rule ends when another rule is defined, or the default ruleset is called as follows:

With the new configuration format in rsyslog 7, the input() and ruleset() statements are reserved for this operation. The new format ruleset definition in /etc/rsyslog.conf can look as follows:

Replace rulesetname with an identifier for your ruleset. The ruleset name cannot start with RSYSLOG_ since this namespace is reserved for use by rsyslog. RSYSLOG_DefaultRuleset then defines the default set of rules to be performed if the message has no other ruleset assigned. With rule and rule2 you can define rules in filter-action format mentioned above. With the call parameter, you can nest rulesets by calling them from inside other ruleset blocks.

After creating a ruleset, you need to specify what input it will apply to:

Here you can identify an input message by input_type, which is an input module that gathered the message, or by port_num – the port number. Other parameters such as file or tag can be specified for input(). Replace rulesetname with a name of the ruleset to be evaluated against the message. In case an input message is not explicitly bound to a ruleset, the default ruleset is triggered.

You can also use the legacy format to define rulesets, for more information see Online Documentation.

Dari rsyslog versi 6, mode kompatibilitas yang ditentukan melalui opsi -c telah dihapus. Selain itu, opsi baris perintah gaya syslogd tidak digunakan lagi dan mengonfigurasi rsyslog melalui opsi baris perintah ini harus dihindari. Namun, Anda dapat menggunakan beberapa templat dan direktif untuk mengonfigurasi rsyslogd agar mengemulasi perilaku mirip syslogd.

Untuk informasi selengkapnya tentang berbagai opsi rsyslogd, lihat halaman manual rsyslogd(8).

Berdasarkan di mana pesan disimpan, ada beberapa jenis antrean: direct, in-memory, disk, dan disk-assisted in-memory yang paling banyak digunakan. Anda dapat memilih salah satu jenis ini untuk antrean pesan utama dan juga untuk antrean tindakan. Tambahkan yang berikut ini ke /etc/rsyslog.conf:

Di sini, Anda dapat menerapkan pengaturan untuk antrean pesan utama (ganti object dengan MainMsg) atau untuk antrean tindakan (ganti object dengan Action). Ganti queue_type dengan salah satu direct, linkedlist atau fixedarray (yang merupakan antrean dalam memori), atau disk.

Pengaturan baku untuk antrean pesan utama adalah antrean FixedArray dengan batas 10.000 pesan. Antrean tindakan secara baku ditetapkan sebagai antrean Direct.

Untuk banyak operasi sederhana, seperti saat menulis keluaran ke berkas lokal, membangun antrean di depan tindakan tidak diperlukan. Untuk menghindari antrean, gunakan:

Ganti object dengan MainMsg atau dengan Action untuk menggunakan opsi ini ke antrean pesan utama atau untuk antrean tindakan masing-masing. Dengan antrean langsung, pesan diteruskan secara langsung dan seketika dari produsen ke konsumen.

Antrean disk menyimpan pesan secara ketat pada hard drive, yang membuatnya sangat andal tetapi juga yang paling lambat dari semua mode antrean yang mungkin. Mode ini dapat digunakan untuk mencegah hilangnya data log yang sangat penting. Namun, antrean disk tidak disarankan dalam sebagian besar kasus penggunaan. Untuk mengatur antrean disk, ketik yang berikut ini ke dalam /etc/rsyslog.conf:

Ganti object dengan MainMsg atau dengan Action untuk menggunakan opsi ini ke antrean pesan utama atau untuk antrean tindakan masing-masing. Antrean disk ditulis dalam beberapa bagian, dengan ukuran baku 10 Mb. Ukuran baku ini dapat dimodifikasi dengan direktif konfigurasi berikut:

di mana size mewakili ukuran komponen antrean disk yang ditentukan. Batas ukuran yang ditentukan tidak membatasi, rsyslog selalu menulis satu entri antrean lengkap, bahkan jika itu melanggar batas ukuran. Setiap bagian dari antrean disk cocok dengan berkas individual. Direktif penamaan untuk berkas-berkas ini terlihat sebagai berikut:

Ini menetapkan prefiks name untuk berkas diikuti dengan angka 7 digit mulai dari satu dan bertambah untuk setiap berkas.

Dengan antrean dalam memori, pesan yang diantrekan disimpan dalam memori yang membuat prosesnya sangat cepat. Data yang diantrekan hilang jika komputer dihidupkan ulang atau dimatikan. Namun, Anda dapat menggunakan pengaturan $ActionQueueSaveOnShutdown untuk menyimpan data sebelum shutdown. Ada dua jenis antrean dalam memori:

Secara umum, gunakan antrean LinkedList saat ragu. Dibandingkan dengan FixedArray, ia mengkonsumsi lebih sedikit memori dan menurunkan overhead pemrosesan.

Gunakan sintaks berikut untuk mengonfigurasi antrean dalam memori:

Ganti object dengan MainMsg atau dengan Action untuk menggunakan opsi ini ke antrean pesan utama atau untuk antrean tindakan masing-masing.

Antrean disk dan dalam memori memiliki kelebihan dan rsyslog memungkinkan Anda menggabungkannya dalam antrean dalam memori berbantuan disk. Untuk melakukannya, konfigurasikan antrean dalam memori normal lalu tambahkan direktif $objectQueueFileName untuk menentukan nama berkas bagi bantuan disk. Antrean ini kemudian menjadi berbantuan disk, yang berarti memasangkan antrean dalam memori dengan antrean disk agar bekerja bersama-sama.

Antrean disk diaktifkan jika antrean dalam memori penuh atau perlu bertahan setelah mati. Dengan antrean berbantuan disk, Anda dapat mengatur parameter konfigurasi spesifik disk dan dalam memori. Jenis antrean ini mungkin yang paling umum digunakan, ini sangat berguna untuk aksi-aksi yang berpotensi berjalan lama dan tidak dapat diandalkan.

Untuk menentukan fungsi antrean dalam memori berbantuan disk, gunakan apa yang disebut watermark:

Ganti object dengan MainMsg atau dengan Action untuk menggunakan opsi ini ke antrean pesan utama atau untuk antrean tindakan masing-masing. Ganti number dengan banyaknya pesan yang diantrekan. Ketika antrean dalam memori mencapai angka yang ditentukan oleh watermark tinggi, ia mulai menulis pesan ke disk dan berlanjut sampai ukuran antrean dalam memori turun ke angka yang ditentukan oleh watermark rendah. Watermark yang diatur dengan benar meminimalkan penulisan disk yang tidak perlu, tetapi juga meninggalkan ruang memori untuk rentetan pesan karena menulis ke berkas disk agak makan waktu. Oleh karena itu, watermark tinggi harus lebih rendah dari seluruh kapasitas antrean yang ditetapkan dengan $objectQueueSize. Perbedaan antara watermark tinggi dan ukuran antrean keseluruhan adalah penyangga memori cadangan yang disediakan untuk rentetan pesan. Di sisi lain, mengatur watermark tinggi terlalu rendah akan sering mengaktifkan bantuan disk yang tidak perlu.

Semua jenis antrean dapat dikonfigurasi lebih lanjut agar sesuai dengan kebutuhan Anda. Anda dapat menggunakan beberapa direktif untuk mengubah antrean tindakan dan antrean pesan utama. Saat ini, ada lebih dari 20 parameter antrean yang tersedia, lihat Dokumentasi Daring. Beberapa pengaturan ini digunakan secara umum, yang lain, seperti manajemen thread pekerja, memberikan kontrol yang lebih dekat atas perilaku antrean dan dicadangkan untuk pengguna tingkat lanjut. Dengan pengaturan tingkat lanjut, Anda dapat mengoptimalkan kinerja rsyslog, menjadwalkan antrean, atau memodifikasi perilaku antrean pada shutdown sistem.

Anda dapat membatasi banyaknya pesan yang dapat berisi antrean dengan pengaturan berikut:

Ganti object dengan MainMsg atau dengan Action untuk menggunakan opsi ini ke antrean pesan utama atau untuk antrean tindakan masing-masing. Ganti number dengan banyaknya pesan yang diantrekan. Anda dapat mengatur ukuran antrean hanya sebagai banyaknya pesan, bukan sebagai ukuran memori sebenarnya. Ukuran antrean baku adalah 10.000 pesan untuk antrean pesan utama dan antrean ruleset, dan 1.000 untuk antrean tindakan.

Antrean berbantuan disk tidak terbatas secara baku dan tidak dapat dibatasi dengan direktif ini, tetapi Anda dapat memesannya ruang disk fisik dalam byte dengan pengaturan berikut:

Ganti object dengan MainMsg atau dengan Action. Ketika batas ukuran yang ditentukan oleh number tercapai, pesan akan dibuang sampai banyaknya ruang yang cukup dibebaskan oleh pesan yang dilepas dari antrean.

Saat antrean mencapai sejumlah pesan tertentu, Anda dapat membuang pesan yang kurang penting untuk menghemat ruang dalam antrean untuk entri dengan prioritas lebih tinggi. Ambang batas yang meluncurkan proses pembuangan dapat diatur dengan apa yang disebut discard mark:

Ganti object dengan MainMsg atau dengan Action untuk menggunakan opsi ini ke antrean pesan utama atau untuk antrean tindakan masing-masing. Di sini, number adalah banyaknya pesan yang harus berada dalam antrean untuk memulai proses pembuangan. Untuk menentukan pesan mana yang akan dibuang, gunakan:

Ganti priority dengan salah satu kata kunci berikut (atau dengan angka): debug (7), info (6), notice (5), warning (4), err (3), crit (2), alert (1), dan emerg (0). Dengan pengaturan ini, pesan yang baru masuk dan sudah diantrekan dengan prioritas yang lebih rendah dari yang ditentukan akan dihapus dari antrean segera setelah tanda buang tercapai.

Anda dapat mengonfigurasi rsyslog agar memproses antrean selama periode waktu tertentu. Dengan opsi ini Anda dapat, misalnya, mentransfer beberapa pemrosesan ke jam di luar jam sibuk. Untuk menentukan kerangka waktu, gunakan sintaks berikut:

Dengan hour Anda dapat menentukan jam yang mengikat kerangka waktu Anda. Gunakan format 24 jam tanpa menit.

Suatu worker thread melakukan tindakan tertentu pada pesan yang diantrekan. Misalnya, dalam antrean pesan utama, tugas pekerja adalah menerapkan logika filter ke setiap pesan masuk dan mengirimkannya ke antrean tindakan yang relevan. Saat pesan tiba, thread pekerja dimulai secara otomatis. Saat banyaknya pesan mencapai angka tertentu, thread pekerja lain diaktifkan. Untuk menentukan angka ini, gunakan:

Ganti number dengan banyaknya pesan yang akan memicu thread pekerja tambahan. Misalnya, dengan number diatur ke 100, thread pekerja baru dimulai ketika lebih dari 100 pesan tiba. Ketika lebih dari 200 pesan tiba, thread pekerja ketiga dimulai dan seterusnya. Namun, terlalu banyak thread pekerja yang berjalan secara paralel menjadi tidak efektif, sehingga Anda dapat membatasi angka maksimumnya dengan menggunakan:

dimana number adalah banyaknya maksimum thread kerja yang dapat berjalan secara paralel. Untuk antrean pesan utama, batas baku adalah 1 thread. Setelah thread pekerja telah dimulai, itu terus berjalan sampai batas waktu tidak aktif muncul. Untuk mengatur panjang batas waktu, ketik:

Ganti time dengan durasi yang ditetapkan dalam mili detik. Tanpa pengaturan ini, batas waktu nol diterapkan dan thread pekerja dihentikan segera ketika kehabisan pesan. Jika Anda menentukan time sebagai -1, tidak ada thread yang akan ditutup.

To increase performance, you can configure rsyslog to dequeue multiple messages at once. To set the upper limit for such dequeueing, use:

Replace number with the maximum number of messages that can be dequeued at once. Note that a higher setting combined with a higher number of permitted working threads results in greater memory consumption.

Saat mengakhiri antrean yang masih berisi pesan, Anda dapat mencoba meminimalkan kehilangan data dengan menentukan interval waktu bagi thread pekerja untuk menyelesaikan pemrosesan antrean:

Tentukan time dalam mili detik. Jika setelah periode itu masih ada beberapa pesan yang diterima, pekerja menyelesaikan elemen data saat ini dan kemudian mengakhiri. Oleh karena itu, pesan yang tidak diproses hilang. Interval waktu lain dapat diatur bagi pekerja untuk menyelesaikan elemen akhir:

Jika batas waktu ini berakhir, setiap pekerja yang tersisa ditutup. Untuk menyimpan data saat shutdown, gunakan:

Jika diatur, semua elemen antrean disimpan ke disk sebelum rsyslog berakhir.

Rsyslog 7 has a number of different templates styles. The string template most closely resembles the legacy format. Reproducing the templates from the example above using the string format would look as follows:

Templat ini juga dapat ditulis dalam format daftar sebagai berikut:

Format teks templat ini mungkin lebih mudah dibaca bagi mereka yang baru mengenal rsyslog dan oleh karena itu dapat lebih mudah beradaptasi seiring perubahan persyaratan.

Untuk menyelesaikan perubahan sintaks baru, kita perlu mereproduksi perintah memuat modul, menambahkan kumpulan aturan, dan kemudian mengikat kumpulan aturan ke protokol, port, dan ruleset:

The Text File Input Module, abbreviated as imfile, enables rsyslog to convert any text file into a stream of syslog messages. You can use imfile to import log messages from applications that create their own text file logs. To load imfile, add the following into /etc/rsyslog.conf:

It is sufficient to load imfile once, even when importing multiple files. The $InputFilePollInterval global directive specifies how often rsyslog checks for changes in connected text files. The default interval is 10 seconds, to change it, replace int with a time interval specified in seconds.

To identify the text files to import, use the following syntax in /etc/rsyslog.conf:

Four settings are required to specify an input text file:

Apart from the required directives, there are several other settings that can be applied on the text input. Set the severity of imported messages by replacing severity with an appropriate keyword. Replace facility with a keyword to define the subsystem that produced the message. The keywords for severity and facility are the same as those used in facility/priority-based filters, see Filters.

Processing of log data can be faster and more convenient when performed in a database rather than with text files. Based on the type of DBMS used, choose from various output modules such as ommysql, ompgsql, omoracle, or ommongodb. As an alternative, use the generic omlibdbi output module that relies on the libdbi library. The omlibdbi module supports database systems Firebird/Interbase, MS SQL, Sybase, SQLite, Ingres, Oracle, mSQL, MySQL, and PostgreSQL.

Confidentiality and integrity in network transmissions can be provided by either the TLS or GSSAPI encryption protocol.

Transport Layer Security (TLS) is a cryptographic protocol designed to provide communication security over the network. When using TLS, rsyslog messages are encrypted before sending, and mutual authentication exists between the sender and receiver.

Generic Security Service API (GSSAPI) is an application programming interface for programs to access security services. To use it in connection with rsyslog you must have a functioning Kerberos environment.

Reliable Event Logging Protocol (RELP) is a networking protocol for data logging in computer networks. It is designed to provide reliable delivery of event messages, which makes it useful in environments where message loss is not acceptable.

The imjournal module is Rsyslog's input module to natively read the journal files (see Interaction of Rsyslog and Journal). Journal messages are then logged in text format as other rsyslog messages. However, with further processing, it is possible to translate meta data provided by Journal into a structured message.

To import data from Journal to Rsyslog, use the following configuration in /etc/rsyslog.conf:

You can translate all data and meta data stored by Journal into structured messages. Some of these meta data entries are listed in Verbose journalctl Output, for a complete list of journal fields see the systemd.journal-fields(7) manual page. For example, it is possible to focus on kernel journal fields, that are used by messages originating in the kernel.

To create a lumberjack-formatted message that is required by rsyslog's parsing module, use the following template:

This template prepends the @cee: string to the JSON string and can be applied, for example, when creating an output file with omfile module. To access JSON field names, use the $! prefix. For example, the following filter condition searches for messages with specific hostname and UID:

Modul mmjsonparse digunakan untuk mengurai pesan terstruktur.

These messages can come from Journal or from other input sources, and must be formatted in a way defined by the Lumberjack project. These messages are identified by the presence of the @cee: string. Then, mmjsonparse checks if the JSON structure is valid and then the message is parsed.

To parse lumberjack-formatted JSON messages with mmjsonparse, use the following configuration in the /etc/rsyslog.conf:

In this example, the mmjsonparse module is loaded on the first line, then all messages are forwarded to it. Currently, there are no configuration parameters available for mmjsonparse.

Rsyslog mendukung penyimpanan log JSON dalam basis data dokumen MongoDB melalui modul keluaran ommongodb.

To forward log messages into MongoDB, use the following syntax in the /etc/rsyslog.conf (configuration parameters for ommongodb are available only in the new configuration format; see Using the New Configuration Format):

You can shape the form of the final database output with use of templates. By default, rsyslog uses a template based on standard lumberjack field names.

To access the journal logs, use the journalctl tool. For a basic view of the logs type as root:

Keluaran dari perintah ini adalah daftar semua berkas log yang dihasilkan pada sistem termasuk pesan yang dihasilkan oleh komponen sistem dan oleh pengguna. Struktur keluaran ini mirip dengan yang digunakan dalam /var/log/messages/ tetapi dengan perbaikan tertentu:

Dalam banyak kasus, hanya entri terbaru dalam log jurnal yang relevan. Cara paling sederhana untuk mengurangi keluaran journalctl adalah dengan menggunakan opsi -n yang hanya mencantumkan jumlah entri log terbaru yang ditentukan:

Ganti Number dengan jumlah baris yang akan ditampilkan. Ketika tidak ada angka yang ditentukan, journalctl menampilkan sepuluh entri terbaru.

Perintah journalctl memungkinkan pengendalian bentuk keluaran dengan sintaks berikut:

Ganti form dengan kata kunci yang menentukan bentuk keluaran yang diinginkan. Ada beberapa opsi, seperti verbose, yang mengembalikan item entri terstruktur penuh dengan semua bidang, export, yang menciptakan aliran biner yang cocok untuk pencadangan dan transfer jaringan, dan json, yang memformat entri sebagai struktur data JSON. Untuk daftar lengkap kata kunci, lihat halaman manual journalctl(1).

Secara baku, pengguna Journal tanpa hak istimewa root hanya dapat melihat berkas log yang dihasilkan oleh mereka. Administrator sistem dapat menambahkan pengguna yang dipilih ke grup adm, yang memberi mereka akses ke berkas log lengkap. Untuk melakukannya, ketik sebagai root:

Di sini, ganti username dengan nama pengguna yang akan ditambahkan ke grup adm. Pengguna ini kemudian menerima keluaran yang sama dari perintah journalctl sebagai pengguna root. Perhatikan bahwa kontrol akses hanya berfungsi saat penyimpanan persisten diaktifkan untuk Journal.

When called without parameters, journalctl shows the full list of entries, starting with the oldest entry collected. With the live view, you can supervise the log messages in real time as new entries are continuously printed as they appear. To start journalctl in live view mode, type:

Perintah ini mengembalikan daftar sepuluh baris log terbaru. Utilitas journalctl kemudian tetap berjalan dan menunggu perubahan baru untuk seketika menunjukkannya.

Keluaran dari perintah journalctl yang dijalankan tanpa parameter sering kali luas, oleh karena itu Anda dapat menggunakan berbagai metode penyaringan untuk mengekstrak informasi untuk memenuhi kebutuhan Anda.

Pesan log sering digunakan untuk melacak perilaku yang salah pada sistem. Untuk hanya melihat entri dengan prioritas yang dipilih atau lebih tinggi, gunakan sintaks berikut:

Di sini, ganti priority dengan salah satu kata kunci berikut (atau dengan angka): debug (7), info (6), notice (5), warning (4), err (3), crit (2), alert (1), dan emerg (0).

Untuk melihat entri log hanya dari boot saat ini, ketik:

Jika Anda me-reboot sistem Anda sesekali, -b tidak akan secara signifikan mengurangi keluaran journalctl. Dalam kasus seperti itu, pemfilteran berbasis waktu lebih membantu:

Dengan --since dan --until, Anda hanya dapat melihat pesan log yang dibuat dalam rentang waktu yang ditentukan. Anda dapat meneruskan values ke opsi ini dalam bentuk tanggal atau waktu atau keduanya seperti yang ditunjukkan dalam contoh berikut.

Verbose journalctl Output lists a set of fields that specify a log entry and can all be used for filtering. For a complete description of meta data that systemd can store, see the systemd.journal-fields(7) manual page. This meta data is collected for each log message, without user intervention. Values are usually text-based, but can take binary and large values; fields can have multiple values assigned though it is not very common.

Untuk melihat daftar nilai unik yang muncul di bidang tertentu, gunakan sintaks berikut:

Ganti fieldname dengan nama bidang yang Anda minati.

Untuk menampilkan hanya entri log yang sesuai dengan kondisi tertentu, gunakan sintaks berikut:

Ganti fieldname dengan nama bidang dan value dengan nilai tertentu yang terdapat dalam bidang tersebut. Akibatnya, hanya baris-baris yang cocok dengan kondisi ini yang dikembalikan.

Anda dapat menentukan beberapa nilai untuk satu bidang:

Menentukan dua kecocokan untuk bidang yang sama menghasilkan kombinasi OR logis dari kecocokan. Entri yang cocok dengan value1 atau value2 ditampilkan.

Selain itu, Anda dapat menentukan beberapa pasangan nilai bidang untuk mengurangi kumpulan keluaran lebih lanjut:

Jika dua kecocokan untuk nama bidang yang berbeda ditentukan, mereka akan digabungkan dengan AND logis. Entri harus sesuai dengan kedua kondisi yang akan ditampilkan.

Dengan menggunakan simbol +, Anda dapat mengatur kombinasi kecocokan OR logis untuk beberapa bidang:

Perintah ini mengembalikan entri yang cocok dengan setidaknya satu kondisi, tidak hanya yang cocok dengan keduanya.

You can apply the aforementioned filtering also in the live-view mode to keep track of the latest changes in the selected group of log entries:

Secara baku, Journal menyimpan berkas log hanya di memori atau penyangga cincin kecil di direktori /run/log/journal/. Ini cukup untuk menunjukkan riwayat log terbaru dengan journalctl. Direktori ini volatil, data log tidak disimpan secara permanen. Dengan konfigurasi baku, syslog membaca log jurnal dan menyimpannya di direktori /var/log/. Dengan logging persisten diaktifkan, berkas jurnal disimpan dalam /var/log/journal yang berarti mereka bertahan setelah reboot. Jurnal kemudian dapat menggantikan rsyslog untuk beberapa pengguna (tetapi lihat pengenalan bab).

Penyimpanan persisten yang diaktifkan memiliki keunggulan berikut

Penyimpanan persisten juga memiliki kelemahan tertentu:

Untuk mengaktifkan penyimpanan persisten bagi Jurnal, buat direktori jurnal secara manual seperti yang ditunjukkan dalam contoh berikut. Sebagai root ketikkan:

Kemudian, jalankan ulang journald untuk menerapkan perubahan:

Sebagian besar berkas log disimpan dalam format teks biasa. Anda dapat melihatnya dengan editor teks apa pun seperti Vi atau Emacs. Beberapa berkas log dapat dibaca oleh semua pengguna di sistem; namun, hak root diperlukan untuk membaca sebagian besar berkas log. Untuk melihat berkas log sistem dalam aplikasi interaktif dan real-time, gunakan Log Sistem.

Setelah Anda memasang paket gnome-system-log, buka Log Sistem dengan mengklik Applications  Perkakas Sistem  Log Sistem, atau ketik perintah berikut pada prompt shell:

Aplikasi hanya menampilkan berkas log yang ada; dengan demikian, daftar mungkin berbeda dari yang ditunjukkan di Log Sistem.

Aplikasi Log Sistem memungkinkan Anda memfilter berkas log yang ada. Klik tombol yang ditandai dengan simbol roda gigi untuk melihat menu, pilih menu:[Filter > > Kelola Filter] untuk menentukan atau mengedit filter yang diinginkan.

Menambahkan atau menyunting filter memungkinkan Anda menentukan parameternya seperti yang ditunjukkan di Log Sistem - mendefinisikan sebuah filter.

Saat menentukan filter, parameter berikut dapat disunting:

Ketika Anda memiliki setidaknya satu filter yang ditentukan, itu dapat dipilih dari menu Filter dan secara otomatis akan mencari string yang telah Anda tentukan di filter dan menyorot atau menyembunyikan setiap kecocokan yang berhasil dalam berkas log yang saat ini Anda lihat.

Saat Anda memilih opsi Tampilkan hanya kecocokan, hanya string yang cocok yang akan ditampilkan dalam berkas log yang saat ini Anda lihat.

Untuk menambahkan berkas log yang ingin Anda lihat dalam daftar, pilih Berkas    Buka. Ini akan menampilkan jendela Buka Log di mana Anda dapat memilih direktori dan nama berkas dari berkas log yang ingin Anda lihat. Log Sistem - menambahkan berkas log menggambarkan jendela Buka Log.

Klik tombol Buka untuk membuka berkas. Berkas segera ditambahkan ke daftar tampilan di mana Anda dapat memilihnya dan melihat isinya.

Log Sistem memantau semua log yang dibuka secara baku. Jika baris baru ditambahkan ke berkas log yang dipantau, nama log akan muncul dalam huruf tebal di daftar log. Jika berkas log dipilih atau ditampilkan, baris baru muncul dalam huruf tebal di bagian bawah berkas log. Log Sistem - peringatan log baru menggambarkan peringatan baru dalam berkas log cron dan dalam berkas log messages. Mengklik berkas log messages menampilkan log dalam berkas dengan baris baru memakai huruf tebal.