在Linux中搭建Rsyslog服务器需五步：一、安装并启用服务；二、配置UDP/TCP监听端口；三、定义远程日志接收规则与模板；四、防火墙放行514端口；五、验证接收能力。
如果您需要在Linux系统中搭建Rsyslog服务器以实现日志的集中收集与存储，则需对Rsyslog服务进行针对性配置，使其能够接收来自远程客户端的日志消息并写入指定文件或数据库。以下是具体配置步骤：
一、安装并启用Rsyslog服务
Rsyslog通常预装于多数主流Linux发行版中，但需确认其已安装并处于运行状态，同时设置开机自启以保障服务持续可用。
1、执行命令检查Rsyslog是否已安装：rpm -q rsyslog（CentOS/RHEL）或dpkg -l | grep rsyslog（Debian/Ubuntu）。
2、若未安装，使用包管理器安装：yum install rsyslog（CentOS 7及更早）或dnf install rsyslog（CentOS 8+/RHEL 8+），Debian系使用apt install rsyslog。
3、启动服务并设为开机自启：systemctl start rsyslog 与 systemctl enable rsyslog。
二、配置Rsyslog监听UDP/TCP端口
Rsyslog默认不监听网络连接，需修改主配置文件启用UDP和/或TCP输入模块，使服务器可接收远程日志。UDP轻量但不可靠，TCP提供传输保障，建议生产环境启用TCP。
1、编辑主配置文件：vi /etc/rsyslog.conf 或使用现代模块化配置路径中的文件（如/etc/rsyslog.d/50-default.conf）。
2、取消以下两行的注释（删除开头的#号）以启用UDP监听：$ModLoad imudp 和 $UDPServerRun 514。
3、如需启用TCP支持，取消以下两行注释：$ModLoad imtcp 和 $InputTCPServerRun 514。
4、保存文件后重启服务：systemctl restart rsyslog。
三、定义远程日志接收规则
为区分不同客户端的日志，需在配置中添加模板与接收规则，将日志按主机名或IP地址归类存储到独立文件中，避免混杂。
1、在/etc/rsyslog.d/目录下新建配置文件，例如：vi /etc/rsyslog.d/30-remote.conf。
2、插入模板定义，用于生成带主机名的路径：$template RemoteLogs,"/var/log/remote/%HOSTNAME%/%$YEAR%-%$MONTH%-%$DAY%.log"。
3、添加规则，将所有来自UDP/TCP的*.*日志应用该模板：*.* ?RemoteLogs。
4、确保目录存在且rsyslog有写入权限：mkdir -p /var/log/remote 并 chown -R syslog:syslog /var/log/remote（Debian/Ubuntu）或 chown -R root:root /var/log/remote（RHEL/CentOS）。
四、配置防火墙放行日志端口
若系统启用firewalld或iptables，必须显式允许UDP 514和/或TCP 514端口通信，否则远程日志无法到达Rsyslog进程。
1、对于firewalld（RHEL/CentOS 7+、Fedora）：firewall-cmd --permanent --add-port=514/udp 及 firewall-cmd --permanent --add-port=514/tcp。
2、重载防火墙规则：firewall-cmd --reload。
3、对于iptables（传统方式），追加规则：iptables -A INPUT -p udp --dport 514 -j ACCEPT 与 iptables -A INPUT -p tcp --dport 514 -j ACCEPT，并保存规则。
五、验证Rsyslog服务器接收能力
在完成上述配置后，需通过本地模拟或真实客户端发送测试日志，确认服务端能正确接收并落盘，排除配置语法错误或端口阻塞问题。
1、使用logger命令本地模拟远程日志（强制指定源主机）：logger -d -n 127.0.0.1 -P 514 "Test log from localhost"。
2、查看对应主机日志文件是否生成：tail -f /var/log/remote/localhost/$(date +%Y-%m-%d).log。
3、使用netstat或ss确认端口监听状态：ss -tuln | grep :514，应显示0.0.0.0:514或[::]:514处于LISTEN状态。
