需要发送Syslog ng行消息-不需要时间戳-不需要标头

Question

我使用的是syslog ng操作系统的以下配置。我们的目的是从设备中获取syslog消息，并将相同的消息中继到分析工具。我们希望有如下所示的行日志消息，在不从原始消息中删除任何字符(即"，"(的情况下发送到分析工具。提供配置文件、原始日志和已处理日志(由syslog ng提供(。我们还想去掉syslog ng添加的额外标头或时间戳。

配置文件使用版本：-版本：3.2.5

options {flush_lines (0);time_reopen (10);log_fifo_size (1000);long_hostnames (off);use_dns (no);      use_fqdn (no);create_dirs (no);keep_hostname (yes);keep-timestamp(no);};
source slocal{syslog(port(514) transport("udp")flags(no-parse) );};
template t_syslog {template("${MESSAGE}n");template-escape(yes);};
destination dfgtall { file("/var/netwitness/fgtall.log" template(t_syslog)); };
log { source(slocal);destination(dfgtall); };

原始日志

date=2020-03-07 time=20:46:02 devname="ABCD" devid="FGT" logid="0000000013" type="traffic" subtype="forward" level="notice" vd="VDOM-Int" eventtime=1583594162 srcip=1.1.1.1 srcport=55498 srcintf="LAN" srcintfrole="lan" dstip=10.10.10.1 dstport=21 dstintf="EXTERNAL" dstintfrole="wan" sessionid=583411984 proto=6 action="deny" policyid=0 policytype="policy" service="FTP" dstcountry="United States" srccountry="Reserved" trandisp="noop" duration=0 sentbyte=0 rcvdbyte=0 sentpkt=0 appcat="unscanned" crscore=30 craction=131072 crlevel="high"

收到的日志消息

<5>Jul 20 14:41:42 root: date=2020-03-07 time=20:46:02 devname=ABCD devid=FGT logid=0000000013 type=traffic subtype=forward level=notice vd=VDOM-Int eventtime=1583594162 srcip=1.1.1.1 srcport=55498 srcintf=LAN srcintfrole=lan dstip=10.10.10.1 dstport=21 dstintf=EXTERNAL dstintfrole=wan sessionid=583411984 proto=6 action=deny policyid=0 policytype=policy service=FTP dstcountry=United States srccountry=Reserved trandisp=noop duration=0 sentbyte=0 rcvdbyte=0 sentpkt=0 appcat=unscanned crscore=30 craction=131072 crlevel=high

Answer 1

syslog ng v3.2.5确实很旧。请升级到新版本。

在源中使用flags(no-parse)，在目标配置中使用正确的模板($MESSAGEn(是关键。

以下代码段与syslog ng v3.28预期的一样工作：

source s_udp {
syslog(
port(514)
transport("udp")
flags(no-parse)
);
};
destination dfgtall { file("/tmp/fgtall.log" template("${MESSAGE}n")); };
log {
source(s_udp);
destination(dfgtall);
};