Dotaz: Rsyslog filter + sql logovani

[Jirkaehm]

Mam drobny problemek s konfiguraci rsyslogu. Uspesne jsem nastavil SQL logovani:

$template syslog-ng,"insert into logs(host, facility, priority, tag, date, time, msg) values ('%FROMHOST%', %syslogfacility%, %syslogpriority%, '%syslogtag%',  '%timereported:::date-mysql%', '%timereported:::date-mysql%', '%msg%')", SQL
*.*             >dbserver,dbname,dbuser,dbpass;syslog-ng

a take se me povedlo nastavit filtrovani pro logovani do obycejneho souboru:

:FROMHOST, startswith, "172" /vat/log/testlog

Potreboval bych ale nejak zkombinovat filtrovani pro logovani do sql, muzete prosim nekdo poradit jak na to?

Vsechny ruzne kombinace co jsem zkousel tak nefungovali :(
diky

---

---

Odpovědi

[Jiří Hlinka]

Zdravím, jakou verzi rsyslogu používáte? Čeho přesně chcte dosáhnout? Jde o to, aby jeden konkrétní host logoval dodatabáze?

[Jirkaehm]

Slava, uz jsem prestaval doufat :)

verze mam tyto: rsyslog-mysql-2.0.2-3.fc8 rsyslog-2.0.2-3.fc8

Konkretne se da rict ze potrebuji kdyz cokoliv prijde ze site tak bylo zalogovano do sql.

mam sit 172.0.0.0/16 tak jsem se snazil napsat filtr: kdyz ip zacina 172 tak to zaloguj do sql, ale logoval me vzdy vse vcetne localhostu :(

diky za pomoc

[Jirkaehm]

Zkusil bych neco jako je tohle (netestoval jsem, ale imho je to dobre ):

-localhostname
*.* :ommysql:127.0.0.1,db_name,db_user,db_pwd
*

Pozor, místo "localhostname" napište to co se vrati po zadani hostname v konzoli.
Otestujte to a dejte vedet. Samozřejmě můžete použít Vaší variantu zápisu do databáze (pokud funguje)...

[Jirkaehm]

slava to je presne ono! diky moc

Jen tedy jestli to dobre chapu

-localhostname //timto rekneme zahod vsechny zaznamy localhostname
*.* :ommysql:127.0.0.1,db_name,db_user,db_pwd //zaloguj to do sql
* // zde pokracuj se vsemi zaznamy?

[Jiří Hlinka]

V podstatě ano, řádka -localhostname uvozuje blok, který je platný pro všechny hosty mimo localhostname (rsyslog bude obsahovat speciální definici pro localhost, ale zatím je potřeba i localhost definovat tímto způsobem AFAIK).
* ruší filtr, dále se tedy opět pracuje se všemy záznamy.