Konfigurieren von Rsyslog zum Beenden der Protokollierung bestimmter Nachrichten

13

Ich möchte die Protokollierung dieser Nachrichten durch rsyslog beenden.

[168707.740364] TCP: Peer 192.168.100.1:46199/41503 unexpectedly shrunk window 2027330493:2027331431 (repaired)

Ich habe dies in der Datei /etc/rsyslog.conf versucht, aber die Nachrichten werden weiterhin protokolliert.

if $msg contains 'unexpectedly' then /dev/null

Kann mich jemand in die richtige Richtung weisen?

rsyslog

— Stephen
quelle

8

Wenn Sie eine aktuelle Version von rsyslog verwenden (z. B. 7), müssen Sie dies tun

& stop

nach deiner nachricht. Wenn Sie dies nicht tun, erhalten Sie

warning: ~ action is deprecated, consider using the 'stop' statement instead [try http://www.rsyslog.com/e/2307 ]

— Karlo
quelle

6

rsyslog benötigt eine Anweisung, um die Protokollierung nach dem Abgleich zu beenden. Fügen Sie diese Zeile unmittelbar nach der bereits vorhandenen if-Anweisung ein.

& ~

Möglicherweise müssen Sie auch beide Anweisungen in der conf-Datei nach oben verschieben, damit sie vor einigen anderen Anweisungen analysiert werden, die sie möglicherweise in Nachrichten protokollieren. Ich ändere meine rsyslog-Konfiguration so, dass sie wie folgt aussieht

/etc/rsyslog.conf ($IncludeConfig /etc/rsyslog.d/*.conf)
/etc/rsyslog.d/40-specificdaemon.conf
/etc/rsyslog.d/99-general.conf

Dies stellt die von mir gewünschte Reihenfolge sicher und erleichtert dem Konfigurationsmanagement das Verteilen von Updates.

— kashani
quelle

3

& ~ist in neueren Versionen von rsyslog veraltet: rsyslog.com/doc/v8-stable/compatibility/v7compatibility.html . Die ~Aktion wird auch als "Verwerfen" bezeichnet. Wenn Sie diese Seite durchsuchen, wird der entsprechende Hinweis angezeigt. Sie sollten verwenden & stop, um vorwärts zu gehen.

— Slm

2

Der Befehl lautet "$ stop", nicht "$ stop". Da gibt es einen großen Unterschied.

— Marius Flage
quelle

4

Bitte klären Sie. Soweit ich weiß, ist es if ... then stopoder & stop. Nie zuvor eine $stopVariable erwähnt. Habe ich etwas verpasst?

— Mivk