linux - 将日志从 syslog-ng 转发到 splunk/graylog

Question

我想将我的 apache 和 tomcat 日志转发到我的中央日志服务器。(splunk/graylog)

我的客户端系统正在运行 syslog-ng。

如何转发日志？

是否需要解析日志？我不能按原样转发日志吗？我还必须编辑 apache 配置吗？

上周我试图完成它。我就此提出了另一个问题。但没有找到帮助。 Forwarding log via syslog-ng大家请看一下这个。

更新1:这是我最新的 syslog-ng.conf

source s_all {
  internal();
  unix-stream("/dev/log");
  file("/proc/kmsg" program_override("kernel: "));
  file("/var/log/apache/access.log" follow_freq(1) flags(no-parse));
  file("/var/log/apache/error.log" follow_freq(1) flags(no-parse));
};
destination d_splunk {
  udp("ec2-xxx.xxx.xxx.xxx.compute-1.amazonaws.com" port(514));
};
log {
  source(s_all); destination(d_splunk);
};

Answer 1

将通用转发器安装到您的中央日志服务器(我假设这与您的 Splunk 实例不同)。然后监视系统日志的路径。我不太了解 syslog-ng，但应该编写日志，以便它在路径中包含主机名，例如 /var/log/my_host_one/apache/access.log。这样 Splunk 将使用正确的主机名(请参阅 inputs.conf 中的 host_segment)。

此外，为了测试以确保您的 UF 正确连接到主 Splunk 实例(通过 outputs.conf 配置)，请尝试在 UF 的内部日志中搜索 index=_internal host=your_uf_host。