rsyslogを起動、停止するには

この記事のポイント

・systemctl start/stop/restart rsyslog でCentOS 7以降のrsyslogを起動・停止・再起動できる
・systemctl status rsyslog でrsyslogの現在の稼働状態を確認できる
・/etc/rsyslog.conf のファシリティ.プライオリティ書式でログの出力先を制御できる
・rsyslogd -N1 で設定ファイルの構文チェックを素早く実行できる

# rsyslog のバージョン確認
rsyslogd -v

# サービス状態確認
systemctl status rsyslog

# ステータスを確認する
systemctl status rsyslog

# rsyslogを起動する
systemctl start rsyslog

# rsyslogを停止する
systemctl stop rsyslog

# rsyslogを再起動する
systemctl restart rsyslog

# OS起動時の自動起動を有効にする
systemctl enable rsyslog

# 設定ファイルのみ再読み込み（プロセスを維持）
kill -HUP $(cat /var/run/rsyslogd.pid)

# ステータスを確認する
/etc/init.d/rsyslog status

# rsyslogを起動する
/etc/init.d/rsyslog start

# rsyslogを停止する
/etc/init.d/rsyslog stop

# rsyslogを再起動する
/etc/init.d/rsyslog restart

# 起動中のみ再起動する（停止中は何もしない）
/etc/init.d/rsyslog condrestart

# /etc/rsyslog.conf の基本構造

#### MODULES ####
# モジュール読み込み（imuxsock, imjournal など）
module(load="imuxsock")
module(load="imjournal" StateFile="imjournal.state")

#### GLOBAL DIRECTIVES ####
global(workDirectory="/var/lib/rsyslog")

#### RULES ####
# ファシリティ.プライオリティ  アクション（送信先）
*.info;mail.none;authpriv.none;cron.none  /var/log/messages
authpriv.*                                /var/log/secure
mail.*                                    -/var/log/maillog
cron.*                                    /var/log/cron
*.emerg                                   :omusrmsg:*

# authpriv の全レベルを /var/log/secure に書く
authpriv.*                    /var/log/secure

# mail を /var/log/messages から除外（none 指定）
*.info;mail.none              /var/log/messages

# セミコロンで複数ファシリティを指定
*.emerg;kern.crit             /var/log/important

# Nginx のアクセスログを専用ファイルへ転送する例
# /etc/rsyslog.d/nginx.conf として作成

if $programname == 'nginx' then /var/log/nginx/rsyslog-access.log
& stop

# 構文チェック（エラーがなければ終了コード 0）
rsyslogd -N1

# 正常例の出力
# rsyslogd: version 8.2306.0, config validation run (level 1), master config /etc/rsyslog.conf
# rsyslogd: End of config validation run. Bye.

# /etc/rsyslog.d/sshd-separate.conf
# SSHD のログを /var/log/sshd.log に分ける

if $programname == 'sshd' then {
    action(type="omfile" file="/var/log/sshd.log")
    stop
}

# /etc/rsyslog.d/myapp.conf
local0.*                      /var/log/myapp/myapp.log

# アプリ側（シェルスクリプト等）から送信
logger -p local0.info "バッチ処理完了 at $(date)"
logger -p local0.err  "DB接続失敗"

# /etc/rsyslog.d/forward-to-logserver.conf

# UDP 転送（ポート 514 が標準）
*.* @192.168.1.100:514

# TCP 転送（推奨：パケットロスを防ぐ）
*.* @@192.168.1.100:514

# キュー付き TCP 転送（サーバー停止時に一時保存）
action(type="omfwd"
       target="192.168.1.100"
       port="514"
       protocol="tcp"
       action.resumeRetryCount="100"
       queue.type="linkedList"
       queue.size="10000")

# /etc/rsyslog.conf または /etc/rsyslog.d/receive.conf

# UDP 受信を有効化
module(load="imudp")
input(type="imudp" port="514")

# TCP 受信を有効化
module(load="imtcp")
input(type="imtcp" port="514")

# 受信ログを送信元ホスト別にファイルへ分けて保存
$template RemoteLogs,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?RemoteLogs
& ~

# UDP/TCP ポート 514 を許可（RHEL 系）
firewall-cmd --permanent --add-port=514/udp
firewall-cmd --permanent --add-port=514/tcp
firewall-cmd --reload

# サービス状態確認
systemctl status rsyslog

# 詳細エラーをジャーナルで確認
journalctl -u rsyslog --no-pager -n 50

# 構文エラーがないか確認
rsyslogd -N1

# SELinux の AVC 拒否がないか確認（RHEL 系）
ausearch -m avc -ts recent | grep rsyslog

# ディレクトリが存在するか確認し、なければ作成
ls -la /var/log/myapp/
mkdir -p /var/log/myapp
chown root:root /var/log/myapp
chmod 755 /var/log/myapp

# TCP 疎通確認
nc -zv 192.168.1.100 514

# テスト送信（送信側で実行）
logger -p user.info "rsyslog test from $(hostname)"

# 受信側のログで確認
tail -f /var/log/remote/送信元ホスト名/user.log