syslog-ng如何将接收的日志分不同主机存储

客户端配置
linux使用的syslog-ng
在配置文件syslog-ng.conf中加入两行：
destination d_udp { udp("log_server_ip" port(514)); };
log { source(src); destination(d_udp); };
重新启动syslog-ng服务
#/etc/init.d/syslog-ng restart
 
winodws服务器的配置
因为windows服务器不支持日志服务器，因此需要安装一个转换软件：
下载地址为：https://engineering.purdue.edu/ECN/Resources/Documents/UNIX/evtsys/
根据系统的版本下载32位和64位的程序。
解压后是两个文件evtsys.dll和evtsys.exe
把这两个文件拷贝到 c:\windows\system32目录下。
打开Windows命令提示符（开始－>运行 输入CMD）
C:\>evtsys –i –h log_server_ip   #（日志服务器的IP地址）
-i 表示安装成系统服务
-h 指定log服务器的IP地址
如果要卸载evtsys,则：
net stop evtsys
evtsys -u
启动该服务:
C:\>net start evtsys
 配置完成:)

 

 

syslog-ng可以解决syslog接受时无法把各机器发送过来的log分开的问题。适用于较多设备日志记录。
很多linux系统自带syslog-ng这里就不说安装了。

服务器配置：
#cat /etc/syslog-ng/syslog-ng.conf
添加如下内容
source s_remote {
   udp(ip(0.0.0.0) port(514));
};
destination d_separatedbyhosts {  file("/var/log/syslog-ng/$HOST/$FACILITY.log" owner("root") group("root") perm(0640) dir_perm(0750) create_dirs(yes));};

log { source(s_remote); destination(d_separatedbyhosts); };
使记录的设备日志按设备IP和设备号分别保存。

注原文地址：http://e1dzrh5b.blog.163.com/blog/static/34896635200882124866/