Linux syslog如何设置日志保留策略

在Linux系统中，syslog日志保留策略可以通过配置rsyslog或syslog-ng来实现。以下是两种常见的方法：

使用rsyslog设置日志保留策略

1. 编辑rsyslog配置文件： 通常，rsyslog的配置文件位于/etc/rsyslog.conf或/etc/rsyslog.d/目录下的某个文件中。

   sudo nano /etc/rsyslog.conf
   

2. 设置日志轮转： 在配置文件中添加或修改以下内容来设置日志轮转策略。例如，每天轮转一次日志，并保留7天的日志：

   # 每天午夜轮转日志
   0 0 * * * /usr/sbin/logrotate /etc/logrotate.d/rsyslog
   
   # 日志文件路径
   /var/log/syslog {
       daily
       rotate 7
       compress
       missingok
       notifempty
       create 640 root adm
   }
   

3. 创建或编辑logrotate配置文件： 如果你没有/etc/logrotate.d/rsyslog文件，可以手动创建一个：

   sudo nano /etc/logrotate.d/rsyslog
   

   添加以下内容：

   /var/log/syslog {
       daily
       rotate 7
       compress
       missingok
       notifempty
       create 640 root adm
   }
   

4. 重启rsyslog服务： 使配置生效：

   sudo systemctl restart rsyslog
   

使用syslog-ng设置日志保留策略

1. 编辑syslog-ng配置文件： 通常，syslog-ng的配置文件位于/etc/syslog-ng/syslog-ng.conf。

   sudo nano /etc/syslog-ng/syslog-ng.conf
   

2. 设置日志轮转： 在配置文件中添加或修改以下内容来设置日志轮转策略。例如，每天轮转一次日志，并保留7天的日志：

   destination d_syslog {
       file("/var/log/syslog" template("${ISODATE} ${HOST} ${LEVEL} ${MESSAGE}\n"));
       rotate(daily);
       keep(7d);
   };
   
   source s_network {
       udp(ip(0.0.0.0) port(514));
   };
   
   log {
       source(s_network);
       destination(d_syslog);
   };
   

3. 重启syslog-ng服务： 使配置生效：

   sudo systemctl restart syslog-ng
   

通过以上步骤，你可以为Linux系统中的syslog日志设置合适的保留策略，确保日志文件不会无限增长，同时保留足够的历史数据以便后续分析。