1
[root@R11 ~]# ll /run/log/journal/
2
total 0
3
drwxr-s---+ 2 root systemd-journal 80 Mar 15 08:25 945083a175da498c9068d4d540f05d72
4
# 这些日志默认存储在 /run/log/journal/（临时,内存中）
5
💡 boot ID（如 9450...）
6
'每次启动都不同,用于区分启动会话'
7
[root@R11 journal]# tree /run/log/journal/
8
/run/log/journal/
9
└── 945083a175d...40f05d72
10
    ├── system@f..d-0..0001-00...f0.journal
11
    └── system.journal
12
# 这些都是二进制日志文件,以.journal结尾！
13
[root@R11 ~]# ll /var/log/journal
14
ls: cannot access '/var/log/journal': No such file or directory
15
# 或 /var/log/journal/（持久化,需启用）
16
'默认并没有让日志持久化'
17
[root@R11 ~]# ls /etc/systemd/journald.conf
18
ls: cannot access '/etc/systemd/journald.conf': No such file or directory
19
💡（老版本配置位置,新版本可能不存在）
20
[root@R11 ~]# locate journald.conf
21
/usr/lib/systemd/journald.conf
22
# 新版本位置！
23
[root@R11 ~]# vim /usr/lib/systemd/journald.conf
24
[Journal]
25
Storage=persistent
26
# 可选：限制日志大小
27
SystemMaxUse=500M
28
RuntimeMaxUse=100M
29
---------------------
30
'Storage参数说明'
31
volatile：仅存储在内存 `/run/log/journal`
32
persistent：强制存储在磁盘 `/var/log/journal`
33
auto：自动,默认使用内存！
34
none：不存储任何日志
35
---------------------
36
[root@R11 ~]# egrep -v '^$|^#' /usr/lib/systemd/journald.conf
37
.....
38
[root@R11 ~]# mkdir -p /var/log/journal
39
==========================
40
'直接 重启 & --flush'
41
[root@R11 ~]# ll /var/log/journal
42
total 0
43
[root@R11 ~]# systemctl restart systemd-journald
44
[root@R11 ~]# journalctl --flush
45
'立即刷新日志到磁盘（RHEL必须执行）'
46
[root@R11 ~]# ll /var/log/journal
47
total 0
48
drwxr-xr-x 2 root root 28 Mar 15 11:25 945083a175da498c9068d4d540f05d72
49
# 现在就出现在磁盘中了,永久保存！
50
==========================
51
'老版记得改权限！'
52
[root@R11 ~]# ll -d /var/log/journal/
53
drwxr-xr-x 2 root root 6 Mar 15 08:31 /var/log/journal/
54
⚠️权限错误 → 目录应属于 root:systemd-journal,权限 2755
55
# 可以参考上面的/run/log/journal/目录权限
56
[root@R11 ~]# chown root:systemd-journal /var/log/journal
57
[root@R11 ~]# chmod 2755 /var/log/journal
58
[root@R11 ~]# ll -d /var/log/journal/
59
drwxr-sr-x 2 root systemd-journal 6 Mar 15 08:31 /var/log/journal/
60
[root@R11 ~]# systemctl restart systemd-journald
61
[root@R11 ~]# ll  /var/log/journal/
62
total 0
63
# 还是没有
64
'这里我忘记journalctl --flush'
65
[root@R11 ~]# logger "TEST PERSISTENT LOG"
66
# 手动创建日志
67
[root@R11 ~]# journalctl -g "TEST PERSISTENT LOG"
68
Mar 15 08:40:42 R11 root[2696]: TEST PERSISTENT LOG
69
========================
70
-g 选项是 “grep 模式” 的缩写,用于在日志消息内容中进行正则表达式匹配
71
'按 消息内容 过滤（全文搜索）'
72
========================
73
[root@R11 ~]# ll  /var/log/journal/
74
total 0
75
# 还是没有持久化保存在/var/log/journal/里面
76
# 说明这会儿还是保存在内存中的
77
[root@R11 ~]# reboot
78
[root@R11 ~]# Connection closing...Socket close.
79
✅我们重启系统再试试！
80
[root@R11 ~]# journalctl -g "TEST PERSISTENT LOG"
81
-- No entries --
82
❌ 重启后,我们刚才手动写的日志就丢失
83
# 说明我们刚才日志是写在内存中的,重启失效！
84
[root@R11 ~]# ll /var/log/journal
85
total 0
86
drwxr-sr-x+ 2 root systemd-journal 28 Mar 15 08:42 945083a175da498c9068d4d540f05d72
87
# 现在再查看就有了
88
'配置完持久化日志,重启生效！'
89
[root@R11 ~]# logger "TEST PERSISTENT LOG"
90
# 再次手动书写一条日志
91
[root@R11 ~]# reboot
92
# 并重启,验证日志是否持久化保存了
93
[root@R11 journal]# journalctl -g "TEST PERSISTENT LOG"
94
Mar 15 08:57:08 R11 root[2542]: TEST PERSISTENT LOG
95
-- Boot 29f2b3d2ad994f91b8f8ab09a96a8fd5 --
96
# 重启后能够看到之前发的日志！
97
'被我们持久化保存了'
98
[root@R11 journal]# tree /var/log/journal/
99
/var/log/journal/
100
└── 9450...5d72
101
    ├── system@ff...0001-00...f0.journal
102
    └── system.journal

1
# 它是 Linux 系统中用来管理 日志记录 的主配置文件
2
'它告诉系统：哪些日志要保存到哪里'
3
==============================
4
🌟 大白话解释：
5
你可以把 rsyslog 想成一个“日志快递员”,它负责把系统里各种程序产生的日志（比如登录、错误、邮件等）送到指定的文件里去存起来
6
这个配置文件就是告诉快递员：“你收到不同类型的包裹（日志）,就送到不同的地址（日志文件）”
7
==============================
8
[root@R11 ~]# egrep -v '^$|^#' /etc/rsyslog.conf
9
global(workDirectory="/var/lib/rsyslog")
10
👉 设置 rsyslog 的工作目录,相当于它的“办公室”
11
module(load="builtin:omfile" Template="RSYSLOG_TraditionalFileFormat")
12
👉 启用写日志到文件的功能,
13
# 并且用传统的格式（比如时间、主机名、信息等）
14
module(load="imuxsock")
15
       SysSock.Use="off")
16
👉 关闭通过本地 socket 接收日志的方式
17
# （现在用 systemd 日志了,所以关掉）
18
module(load="imjournal"
19
       UsePid="system"
20
       FileCreateMode="0644"
21
       StateFile="imjournal.state")
22
👉读取 systemd 的日志（也就是现在的系统日志来源）,并设置权限和状态保存文件
23
include(file="/etc/rsyslog.d/*.conf" mode="optional")
24
👉 包含 /etc/rsyslog.d/ 目录下的其他配置文件（如果有）,方便分模块管理
25
# 包含子配置文件
26
==============================
27
📦 最关键的部分：日志分发规则
28
*.info;mail.none;authpriv.none;cron.none  /var/log/messages
29
# 所有级别为 info 及以上的日志都记到 /var/log/messages,但排除 mail、authpriv、cron 类的日志（因为它们有专门的地方）
30
authpriv.*      /var/log/secure
31
# 所有认证相关的日志（如 SSH 登录、su 切换用户）
32
mail.*         -/var/log/maillog
33
# 所有邮件相关的日志
34
cron.*          /var/log/cron
35
# 定时任务（crontab）的日志
36
*.emerg        :omusrmsg:*
37
# 如果出现紧急错误（emerg）,直接弹出提示给当前用户
38
uucp,news.crit  /var/log/spooler
39
# 某些旧系统服务的严重错误日志
40
local7.*        /var/log/boot.log
41
# 特定用途的日志（比如开机过程）

1
[root@R11 ~]# systemctl is-active rsyslog.service
2
active
3
# 服务是活跃状态！
4

5
# 自定义日志的格式！
6
[root@R11 ~]# vim /etc/rsyslog.conf
7
[root@R11 ~]# cat /etc/rsyslog.conf | grep -C 1 local7
8
# Save boot messages also to boot.log
9
local7.*              /var/log/boot.log
10
local6.*              /var/log/testlog
11
----------------------------------------------
12
facility.severity    destination
13
'设施/来源.严重级别    动作'
14
local是syslog预留的本地自定义设施！供用户或应用程序自己使用
15
local6是来自 local6 设施的日志
16
'这个6是设施的编号,不是日志级别！'
17
# *是通配符,表示所有的日志级别
18
所以 local6.* 的意思是：
19
“把 所有来自 local6 设施、任意严重级别 的日志,都写入到指定文件”

1
'服务端配置！'
2
[root@R39 ~]# ls /etc/rsyslog.d/
3
# 这个是子配置文件的目录！
4
'下面所有的配置文件都被包含在主配置文件里面！'
5
# 很显然里面什么东西都没有！
6
[root@R39 ~]# ls -l /etc/resolv.conf
7
-rw-r--r-- 1 root root 94 Mar 12 12:15 /etc/resolv.conf
8
# 这个是主配置文件
9

10
[root@R39 ~]# vim /etc/rsyslog.d/getremote.conf
11
# 手动创建一个配置文件,用来接受客户端的消息！
12
module(load="imtcp")
13
# 加载 TCP 输入模块（注意是 imtcp）
14
# 这个模块在整个配置中只需要加载一次
15

16
input(type="imtcp" port="10514")
17
# 监听 TCP 10514 端口
18

19
$template RemoteLogs,"/var/log/remote/%fromhost-ip%/%programname%_%$YEAR%-%$MONTH%-%$DAY%.log"
20
# 定义模板：名字是RemoteLogs
21
# 按 远程IP + 程序 + 日期 分隔日志文件
22

23
*.* ?RemoteLogs
24
# 把所有接收到的远程日志
25
#（*.* 表示任何设施.任何级别）都用 RemoteLogs 模板写入文件
26
# ?RemoteLogs：调用上面定义的模板
27

28
& stop
29
# 停止本地处理,避免重复记录
30

31
[root@R39 ~]# systemctl restart rsyslog.service
32
# 重启服务！
33
[root@R39 ~]# ss -anptul | grep 10514
34
tcp LISTEN 0 25  0.0.0.0:10514 0.0.0.0:* users:(("rsyslogd",pid=3916,fd=4))
35
tcp LISTEN 0 25  [::]:10514    [::]:*    users:(("rsyslogd",pid=3916,fd=5))

1
'回到客户端！'
2
[root@R11 ~]# vim /etc/rsyslog.conf
3
.....
4
# Save boot messages also to boot.log
5
local7.*                        /var/log/boot.log
6
local6.*                        @@10.0.0.139:10514
7
# 一有日志就一tcp方式写入到远程主机的10514端口！
8
[root@R11 ~]# systemctl restart rsyslog.service
9
[root@R11 ~]# logger -p local6.info "this is a message from A"
10
# 手动发送日志
11

12
切换回服务端验证：
13
[root@R39 ~]# ll /var/log/remote/
14
total 0
15
drwx------ 2 root root  33 Mar 12 15:28 10.0.0.111
16
drwx------ 2 root root 133 Mar 12 15:27 127.0.0.1
17
[root@R39 ~]# cd /var/log/remote/10.0.0.111/
18
[root@R39 10.0.0.111]# ll
19
total 4
20
-rw------- 1 root root 57 Mar 12 15:28 root_2026-03-12.log
21
[root@R39 10.0.0.111]# cat root_2026-03-12.log
22
Mar 12 15:28:41 R11 root[3570]: this is a message from A
23
# 成功出来了
24
[root@R39 10.0.0.111]# tree /var/log/remote/
25
/var/log/remote/
26
├── 10.0.0.111
27
│   └── root_2026-03-12.log
28
└── 127.0.0.1
29
    ├── kernel_2026-03-12.log
30
    ├── NetworkManager_2026-03-12.log
31
    ├── rsyslogd_2026-03-12.log
32
    └── systemd_2026-03-12.log