要让本地服务器将日志发到远程服务器，需在客户端rsyslog配置中添加转发规则如. @@192.168.1.100:514（tcp可靠传输），确保网络连通、防火墙放行514/tcp端口，并重启rsyslog服务；服务端需加载imtcp模块、监听514端口，通过template按客户端ip分目录存储日志，并配置logrotate防止磁盘写满。
怎么让本地服务器把日志发到远程服务器
默认情况下，rsyslog只收本地日志，不主动外发。要让它“说话”，得在客户端配置里加一条转发规则。
最简方式是在 /etc/rsyslog.conf 末尾加一行：
*.* @@192.168.1.100:514
注意：@@ 表示 TCP（可靠传输），@ 是 UDP（可能丢日志）；生产环境务必用 @@。
- IP 和端口必须能 ping 通，且远程服务器的 514 端口在防火墙里放行（
ufw allow 514/tcp或firewall-cmd --add-port=514/tcp） - 别写成
*.* @192.168.1.100—— 缺少端口会导致连接被拒绝，journalctl -u rsyslog里会看到connection refused - 改完后必须执行
systemctl restart rsyslog，reload 不生效
远程服务器怎么正确监听并分目录存日志
服务端光开个端口没用，还得告诉 rsyslog：收到的日志是谁发的、该存哪、按什么格式命名。
先加载模块并监听：
$ModLoad imtcp<br>$InputTCPServerRun 514
再建一个独立配置文件，比如 /etc/rsyslog.d/remote.conf，内容如下：
$template RemoteLogs,"/var/log/remote/%FROMHOST-IP%/%PROGRAMNAME%.log"<br>*.* ?RemoteLogs<br>& ~
-
$template定义路径模板，%FROMHOST-IP%是自动提取的客户端 IP，避免所有日志混在一个文件里 -
& ~表示匹配后不再走后续规则，防止日志重复写入/var/log/messages - 目录
/var/log/remote/必须提前创建并赋权：mkdir -p /var/log/remote && chown syslog:adm /var/log/remote - 如果用的是较新版本 rsyslog（如 v8.20+），
$template已弃用，得改用template()函数语法
为什么日志发过去了，但远程服务器收不到或乱码
常见不是网络问题，而是协议或编码层面的隐性冲突。
- 客户端和服务端 rsyslog 版本差异大时（比如 Debian 12 客户端 + CentOS 7 服务端），
imtcp模块默认启用 TLS，而老版本不支持，结果静默失败 —— 解决办法是加$InputTCPServerStreamDriverMode 1关 TLS - 日志含中文或特殊字符，服务端没设 UTF-8，会显示为
—— 在/etc/default/rsyslog加RSYSLOGD_OPTIONS="-c5 -i /var/run/syslogd.pid -n -f /etc/rsyslog.conf"并确保系统 locale 是en_US.UTF-8或对应中文 locale - SELinux 启用时（RHEL/CentOS），即使端口开放，
rsyslogd也可能被阻止绑定网络 —— 临时关 SELinux 测试：setenforce 0；长期方案是setsebool -P syslogd_can_network_connect on
要不要用 logrotate 配合远程日志
要，而且必须配。远程日志目录不会自动轮转，/var/log/remote/192.168.1.128/auth.log 这种文件会越长越大，最后撑爆磁盘。
在 /etc/logrotate.d/remote-logs 里加：
/var/log/remote/*/*.log {<br> daily<br> missingok<br> rotate 30<br> compress<br> delaycompress<br> sharedscripts<br> postrotate<br> systemctl kill -s HUP rsyslog<br> endscript<br>}
-
sharedscripts确保所有匹配文件轮转完才执行postrotate，避免 HUP 太早导致新日志写错位置 -
systemctl kill -s HUP rsyslog是关键：rsyslog 不读 logrotate 的通知，必须手动发信号重载文件句柄 - 别漏掉
missingok—— 某台客户端下线后，对应目录可能不存在，否则 logrotate 会报错退出
真正麻烦的从来不是“怎么配通”，而是“配通之后没人管轮转、没人查防火墙策略变更、没人同步两端的 rsyslog 版本”。日志管道一旦断裂，往往要等出事了才被发现。
