https://xinux.net/index.php?action=history&feed=atom&title=Erkl%C3%A4rung_rsyslog-client 2026-08-27T11:07:04Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://xinux.net/index.php?title=Erkl%C3%A4rung_rsyslog-client&diff=73100&oldid=prev 2026-08-27T06:37:38Z

<p>Die Seite wurde neu angelegt: „=== Zeile für Zeile === ; &lt;code&gt;*.*&lt;/code&gt; : Der klassische Selektor „alle Facilities, alle Prioritäten“. Es wird also wirklich jede Meldung weitergelei…“</p> <p><b>Neue Seite</b></p><div>=== Zeile für Zeile ===<br /> <br /> ; &lt;code&gt;*.*&lt;/code&gt;<br /> : Der klassische Selektor „alle Facilities, alle Prioritäten“. Es wird also wirklich jede Meldung weitergeleitet – von &lt;code&gt;debug&lt;/code&gt; bis &lt;code&gt;emerg&lt;/code&gt;. Einschränken ließe sich das z.&amp;nbsp;B. mit &lt;code&gt;*.info&lt;/code&gt; oder &lt;code&gt;authpriv.*&lt;/code&gt;.<br /> <br /> ; &lt;code&gt;action(type=&quot;omfwd&quot; …)&lt;/code&gt;<br /> : &lt;code&gt;omfwd&lt;/code&gt; ist das Ausgangsmodul für die Weiterleitung über das Netz. Es ist fest eingebaut, muss also nicht geladen werden. Die neue &lt;code&gt;action()&lt;/code&gt;-Syntax wird hier gebraucht, weil die alte Kurzform &lt;code&gt;*.* @@192.168.1.10:514&lt;/code&gt; keine Queue-Parameter kennt.<br /> <br /> ; &lt;code&gt;target=&quot;192.168.1.10&quot;&lt;/code&gt; / &lt;code&gt;port=&quot;514&quot;&lt;/code&gt;<br /> : Adresse und Port des Logservers. Ein Hostname wäre auch möglich, eine IP erspart aber die Abhängigkeit von der Namensauflösung – gerade beim Booten oder wenn der DNS selbst Probleme meldet.<br /> <br /> ; &lt;code&gt;protocol=&quot;tcp&quot;&lt;/code&gt;<br /> : Übertragung per TCP statt UDP. Nur damit ist die Queue überhaupt sinnvoll: rsyslog merkt bei TCP, wenn die Zustellung fehlschlägt. Bei UDP schickt es blind ins Netz und erfährt von einem Ausfall nichts.<br /> <br /> === Die Queue – der eigentliche Kern ===<br /> <br /> ; &lt;code&gt;queue.type=&quot;linkedlist&quot;&lt;/code&gt;<br /> : Eine dynamisch wachsende Warteschlange im Arbeitsspeicher (verkettete Liste). Sie belegt nur so viel Speicher, wie gerade gebraucht wird – im Gegensatz zu &lt;code&gt;fixedarray&lt;/code&gt;, das seinen Platz sofort reserviert. Ohne diesen Parameter läuft die Aktion in der Direct-Queue: jede Meldung wird sofort und synchron zugestellt, und ein hängender Server bremst das ganze System aus.<br /> <br /> ; &lt;code&gt;queue.filename=&quot;fwdqueue&quot;&lt;/code&gt;<br /> : Macht daraus eine '''Disk-Assisted Queue'''. Läuft der Speicherpuffer voll, schreibt rsyslog die Meldungen unter diesem Namen nach &lt;code&gt;/var/spool/rsyslog/&lt;/code&gt; auf Platte. Der Name muss auf dem Host eindeutig sein, wenn mehrere Queues konfiguriert sind.<br /> <br /> ; &lt;code&gt;action.resumeRetryCount=&quot;-1&quot;&lt;/code&gt;<br /> : Anzahl der Wiederholversuche nach einem Fehler; &lt;code&gt;-1&lt;/code&gt; heißt „unendlich oft“. Ohne das gibt rsyslog nach wenigen Versuchen auf und verwirft die Meldungen – der Logserver darf also beliebig lange weg sein (Reboot, Wartung), ohne dass etwas verlorengeht.<br /> <br /> ; &lt;code&gt;queue.saveOnShutdown=&quot;on&quot;&lt;/code&gt;<br /> : Beim Beenden des Dienstes wird der noch nicht zugestellte Inhalt der Queue auf Platte geschrieben und beim nächsten Start wieder eingelesen. Ohne das wäre der Puffer nach einem Neustart des Clients weg.<br /> <br /> === Zusammenspiel ===<br /> <br /> Fällt der Logserver aus, sammelt der Client die Meldungen im Speicher, ab einer gewissen Menge auf Platte, und probiert es endlos weiter. Kommt der Server zurück, wird der Rückstand automatisch nachgeliefert – in der ursprünglichen Reihenfolge, mit den Originalzeitstempeln.<br /> <br /> === Hinweise für die Praxis ===<br /> <br /> * '''Lokale Kopie bleibt erhalten:''' Diese Aktion leitet nur weiter. Ohne &lt;code&gt;stop&lt;/code&gt; schreiben die Standardregeln zusätzlich nach &lt;code&gt;/var/log/…&lt;/code&gt;. Das ist meist erwünscht – bei einem Ausfall des Servers hat man dann immer noch die lokalen Logs.<br /> * '''Platzbedarf begrenzen:''' Standardmäßig darf die Disk-Queue erheblich wachsen. Bei knappem Plattenplatz zusätzlich &lt;code&gt;queue.maxDiskSpace=&quot;1g&quot;&lt;/code&gt; und &lt;code&gt;queue.maxFileSize=&quot;16m&quot;&lt;/code&gt; setzen.<br /> * '''Spool-Verzeichnis prüfen:''' &lt;code&gt;$WorkDirectory /var/spool/rsyslog&lt;/code&gt; muss existieren und dem rsyslog-Benutzer gehören, sonst schlägt das Auslagern still fehl.<br /> * '''Test:''' Mit &lt;code&gt;logger -t test &quot;Hallo Logserver&quot;&lt;/code&gt; eine Meldung erzeugen und auf dem Server unter &lt;code&gt;/var/log/hosts/&amp;lt;client&amp;gt;/test.log&lt;/code&gt; nachsehen.<br /> * '''Ausfall simulieren:''' Auf dem Server &lt;code&gt;rsyslog&lt;/code&gt; stoppen, auf dem Client weiter Meldungen erzeugen, Server wieder starten – die Meldungen kommen nach. Gutes Übungsszenario im Kurs.<br /> * '''Sicherheit:''' Auch hier gilt: unverschlüsselt und ohne Authentisierung. Über unsichere Strecken TLS (&lt;code&gt;StreamDriver&lt;/code&gt;) oder RELP verwenden.</div>

Thomas.will