Решено: syslog-ng (перенаправление логов в разные файлы)

[Poor Fred]

Встала у меня задача разделить логи от разных программ в разные файлы. К примеру, логи iptables в файл security.log, как во Фре и (или) в 11-ю консоль. Почитал ман и доки по субжу и совсем ничего не понял. Киньте, плз, примеры конфигураций, а дальше я уж сам разберусь.

[serg_sk]

C syslog-ng это геморойно очень. Ставишь metalog там можно каждому демону сопоставить по лог файлу, или же конкретной группе демонов.

[Mellon]

Нууу...
Это кому, что проще

Воть дельное чтиво:
Gentoo Security Handbook / Syslog-ng

Да и кстати, metalog очень коряво в консоль чепятает.
Если Серж не против, то давайте чтоли опрос замутим?
Уже начал набирать.

[serg_sk]

Если Серж не против, то давайте чтоли опрос замутим?

↑

Собственно чего мне против то быть?

[Poor Fred]

Gentoo Security Handbook / Syslog-ng

Прочитал и, честно говоря, ничего не понял. Попробовал iptables отправить в отдельный лог, говорит "Nao facility iptables".
Или я как-то неправильно подхожу?

[targeti]

Gentoo Security Handbook / Syslog-ng

Прочитал и, честно говоря, ничего не понял. Попробовал iptables отправить в отдельный лог, говорит "Nao facility iptables".
Или я как-то неправильно подхожу?

Попробуй воспользоваться не facility, а { match(blah-blah-blah*); };
blah-blah-blah - параметр --log-prefix для iptables

[Poor Fred]

Попробуй воспользоваться не facility, а { match(blah-blah-blah*); };
blah-blah-blah - параметр --log-prefix для iptables

Спасибо. Разобрался кое-как. Долго пялился на конфиг пока не сообразил, что сообщения брандмауера имеют источником ядро. Такие строки получились, если надо кому:

Последнее правило брандмауера:

Код: Выделить всё

${IPT} -A INPUT -j LOG --log-prefix "firewall drop "
${IPT} -A INPUT -j DROP

Строки в конфиге syslog-ng:

Код: Выделить всё

destination firewall { file("/var/log/security.log"); };
filter f_firewall { match("^firewall *"); };
log { source(kernsrc); filter(f_firewall); destination(firewall); };

# и на всякий случай, чтобы не забивал 12-ю консоль
filter f_kern { facility(kern) and not match("^firewall *"); };