Question

我无法理解我在这个syslog-ng过滤器中缺少的内容。首先，这是日志消息：

<22>Nov 3 09:57:44 logon avaya: 2015/11/03 09:57:44,00:00:01,1,0,103456456156,I,#AA:Poa,1231231123231,,0,1017121,0,T9002,Line 2.1,V9542,VM Channel 42,0,0,,,,,,,,,,,,,

这是syslog-ng配置的过滤器：

filter f_avaya{
        program("avaya");
};

在调试模式下运行syslog-ng我看到该消息与过滤器不匹配，为什么？

Answer 1

令人遗憾的答案是：日期格式当日期小于10时填写0。

<22>Nov 3 09:57:44...

应该是：

<22>Nov 03 09:57:44...

Answer 2

您的消息无效，因为标头中缺少进程ID：

<22>Nov 3 09:57:44 logon avaya:

如果没有ID，应该是这样

<22>Nov 3 09:57:44 logon avaya[0]:

Syslog格式和syslog-ng过滤器

2 个答案: