要让WebLogic、IBM MQ、Oracle DB等中间件日志绕过本地磁盘直推SOC，需配置中间件输出至syslog接口（如local4/local5），rsyslog启用纯内存队列（queue.maxdiskspace="0g"）、绑定专用ruleset并禁用本地落盘，服务端启用TLS加密接收。

如何配置rsyslog将特定核心中间件的syslog直接绕过本地物理磁盘实时热推至远程soc机房

要让特定核心中间件（如 WebLogic、IBM MQ、Oracle DB 的审计模块等）产生的 syslog 绕过本地磁盘、实时直推至远程 SOC 机房，关键不是“全局转发所有日志”，而是精准捕获目标进程的日志流，并通过 rsyslog 的可靠传输通道 + 内存队列 + 零落盘策略实现热推。这不是简单加一行 *.* @@soc-ip:514 就能解决的。

明确日志源头：中间件必须输出到 syslog 接口

中间件自身需配置为将日志写入 local socket（/dev/log）或 UDP/TCP 端口，而非直接写文件。例如：

WebLogic：启用 JVM 参数 -Dweblogic.log.LogSeverity=Debug -Dweblogic.log.RedirectStdoutToLog=true，再配合 log4j2 的 SyslogAppender，facility 设为 local4；
Oracle DB 审计：设置 AUDIT_TRAIL='OS' 并确保 audit_file_dest 指向一个由 rsyslog 监听的命名管道或 syslog socket；
IBM MQ：在 qm.ini 中配置 Log:Syslog=yes，并指定 Facility=local5。

若中间件只写文件（如 /opt/mq/logs/AMQERR01.LOG），则需用 imfile 模块监听该文件——但这就无法完全规避本地磁盘 I/O，不满足“绕过物理磁盘”要求。

rsyslog 客户端：禁用本地落盘，启用内存队列与 TCP 强保障

编辑 /etc/rsyslog.d/99-middleware-forward.conf，内容如下：

# 加载必要模块
module(load="imuxsock")    # 接收 /dev/log socket 日志
module(load="imklog")      # 接收内核日志（可选）
module(load="omfwd")       # 转发模块
<h1>为中间件日志单独定义规则集，避免混入其他日志</h1><p>ruleset(name="middleware-only") {</p><h1>只匹配 facility=local4 和 local5 的日志（按中间件实际配置调整）</h1><p>if $syslogfacility-text == 'local4' or $syslogfacility-text == 'local5' then {</p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/ai/3892" title="FinGenius"><img
														src="https://img.php.cn/upload/ai_manual/001/246/273/178599583745360.png" alt="FinGenius" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/ai/3892" title="FinGenius" class="overflowclass">FinGenius</a>
													<p class="overflowclass">FinGenius是一款AI智能体工具，全球首个A股AI金融博弈智能体应用。</p>
												</div>
												<a rel="nofollow" href="/ai/3892" title="FinGenius" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div><h1>关键：不写本地文件，直接进转发队列</h1><pre class="brush:php;toolbar:false;">action(
  type="omfwd"
  protocol="tcp"
  target="soc-server.example.com"
  port="514"
  keepalive="on"
  keepalive.maxidle="300"
  queue.type="LinkedList"
  queue.spoolDirectory="/var/lib/rsyslog"  # 仅故障时临时落盘，生产建议挂 tmpfs
  queue.filename="middleware-queue"
  queue.maxdiskspace="0g"                  # 禁用磁盘缓存（强制纯内存）
  queue.saveonshutdown="off"               # 不保存队列到磁盘
  queue.size="100000"                      # 大内存队列缓冲突发
  action.resumeRetryCount="-1"             # 永久重试，不丢日志
  action.reportSuspension="on"
  action.reportSuspensionContinuation="on"
)
stop  # 匹配后终止处理，不落入默认规则

} }

将规则集绑定到输入源

input(type="imuxsock" ruleset="middleware-only")

注意：queue.maxdiskspace="0g" 是绕过本地磁盘的核心参数；/var/lib/rsyslog 若必须存在，应挂载为 tmpfs（内存文件系统），避免真实磁盘写入。

SOC 机房服务端：按来源隔离 + TLS 加密（推荐）

在 SOC 服务器上，启用 TLS 保证传输安全（尤其跨网络边界）：

生成证书并配置 /etc/rsyslog.d/tls-server.conf，加载 imtcp 和 gtls 模块；
使用 template 按中间件类型和主机 IP 分目录存储，例如：
template(name="SOCFormat" type="string" string="/var/log/soc/%fromhost-ip%/%syslogfacility-text%/%$year%-%$month%-%$day%.log")；
添加 $InputTCPServerStreamDriverMode "1" 启用 TLS 模式；
防火墙开放 6514/tcp（TLS 默认端口），而非明文 514。