需先卸载rsyslog、禁用SELinux及防火墙514端口限制，再按发行版安装syslog-ng，最后备份并重写精简配置文件以适配集中式日志管理。
如果您希望在Linux系统中部署Syslog-ng以实现集中式日志管理，则需完成安装、服务隔离、配置重写与网络收发适配等关键环节。以下是具体操作步骤：
一、卸载冲突服务并关闭防护机制
syslog-ng无法与rsyslog共存，且SELinux或防火墙可能阻断514端口通信。必须先解除这些限制。
1、停止并禁用rsyslog服务：systemctl stop rsyslog && systemctl disable rsyslog
2、临时关闭SELinux：setenforce 0
3、永久禁用SELinux：编辑/etc/selinux/config，将SELINUX=enforcing改为SELINUX=disabled
4、关闭firewalld或开放514端口：firewall-cmd --permanent --remove-port=514/tcp && firewall-cmd --permanent --remove-port=514/udp && firewall-cmd --reload
二、根据发行版安装Syslog-ng
不同包管理器对应不同安装命令，需匹配当前系统类型执行。
1、对于基于RHEL/CentOS/AlmaLinux/Rocky Linux的系统：yum install -y syslog-ng 或 dnf install -y syslog-ng
2、对于Debian/Ubuntu系统：apt update && apt install -y syslog-ng-core
3、验证安装结果：syslog-ng --version 应输出版本号（如3.38.1）
三、备份并重建主配置文件
默认配置文件功能冗余且不适用于集中场景，需覆盖为精简可维护结构。
1、备份原配置：mv /etc/syslog-ng/syslog-ng.conf /etc/syslog-ng/syslog-ng.conf.BAK
2、创建新配置文件：touch /etc/syslog-ng/syslog-ng.conf
3、写入基础框架头：echo '@version: 3.38' > /etc/syslog-ng/syslog-ng.conf
4、追加全局选项块：cat >> /etc/syslog-ng/syslog-ng.conf
options {
keep-hostname(yes);
chain-hostnames(no);
time-reap(30);
mark-freq(10);
use-dns(no);
dns-cache(no);
create-dirs(yes);
};
EOF
四、配置日志收集器（服务端）
服务端需监听TCP/UDP双协议514端口，接收来自各客户端的日志流，并按主机名分离存储。
1、追加网络源定义：cat >> /etc/syslog-ng/syslog-ng.conf
source s_network {
syslog(transport(tcp) port(514) max-connections(200));
syslog(transport(udp) port(514));
};
EOF
2、定义目标目录与文件模板：cat >> /etc/syslog-ng/syslog-ng.conf
destination d_byhost {
file("/var/log/syslog-ng/${HOST}/messages" create-dirs(yes) owner("root") group("root") perm(0644));
};
EOF
3、绑定源与目标：cat >> /etc/syslog-ng/syslog-ng.conf
log { source(s_network); destination(d_byhost); };
EOF
五、配置日志发送端（客户端）
客户端需将本地日志通过TCP协议转发至收集器IP，避免UDP丢包并提升可靠性。
1、确认服务端IP地址（例如192.168.10.100），然后追加远程目标定义：cat >> /etc/syslog-ng/syslog-ng.conf
destination log_server { tcp("192.168.10.100" port(514)); };
EOF
2、启用本地日志源并路由至远端：cat >> /etc/syslog-ng/syslog-ng.conf
source s_local { system(); internal(); };
log { source(s_local); destination(log_server); };
EOF
六、启动并验证服务状态
配置完成后需重载服务并检查监听端口与日志路径是否生效。
1、启动syslog-ng并设为开机自启：systemctl enable --now syslog-ng
2、确认514端口处于LISTEN状态：ss -tuln | grep ':514'
3、查看服务运行日志：journalctl -u syslog-ng -n 20 -f
4、手动触发一条测试日志：logger -p local0.info "syslog-ng client test"
