rsyslog通过ruleset机制实现逻辑多实例隔离：为不同数据源或网卡定义专属ruleset，显式绑定input的ruleset参数，利用$fromhost-ip等属性精确路由，并禁用默认规则链防止混入。
rsyslog 本身不支持传统意义上的“多实例”进程并行运行（如 MySQL 多端口多进程），但可通过 Ruleset 机制 + 输入绑定 + 模板路由，实现逻辑上完全隔离的多租户、多来源、多网卡日志处理路径——效果等同于多个独立 syslog 实例。
用 Ruleset 替代多进程实例
rsyslog 的核心隔离能力来自 Ruleset，而非启动多个 rsyslogd 进程。每个 Ruleset 是独立的日志处理流水线，拥有自己的输入、过滤条件和输出目标。只要配置得当，就能避免日志混杂、路径冲突或权限干扰。
- 为不同来源定义专属 Ruleset，例如：
ruleset(name="rs_web") { ... }、ruleset(name="rs_db") { ... } - 每个
input必须显式指定ruleset="xxx"，否则默认进入全局 Ruleset，失去隔离意义 - 禁用默认规则链：在全局配置末尾加
*.* & stop，防止未匹配日志“漏入”主流程
按网卡/IP 实现接收路径隔离
虽然 rsyslog 不直接识别 eth0 或 eth1 设备名，但可通过监听地址绑定实现等效隔离——本质是让不同网卡 IP 各自承载独立输入流。
- 查各网卡 IPv4 地址：
ip -4 addr show | grep "inet " | awk '{print $2}' - 为 eth0 的 IP（如 192.168.10.10）单独监听：
input(type="imtcp" port="514" address="192.168.10.10" ruleset="rs_eth0") - 为 eth1 的 IP（如 10.0.20.10）另起一路：
input(type="imtcp" port="514" address="10.0.20.10" ruleset="rs_eth1")（需内核支持 SO_REUSEADDR，通常默认启用） - 更稳妥做法是端口+地址组合，例如 eth0 走 5140、eth1 走 5141，彻底规避绑定冲突
按 IP 段自动归类存储，支撑多租户
租户日志不能按原始 IP 建目录（如 /var/log/192.168.5.10/），而应提取网段作为一级分类依据，兼顾可读性与目录数量控制。
- 定义模板提取前两段 IP：
$template TenantLogs,"/var/log/tenant-%$!fromhost-ip:R,2:16%%/%PROGRAMNAME%.log" - 配合 property filter 精确路由：
if $fromhost-ip startswith '192.168.10.' then ?TenantLogs & stop - 提前创建目录并授权：
sudo mkdir -p /var/log/tenant-192.168.10 /var/log/tenant-10.10，再sudo chown -R syslog:adm /var/log/tenant-* - 对 authpriv 等敏感日志建议单独路径+ tighter 权限，例如
/var/log/tenant-*/auth.log设置 640
验证与调试关键点
配置完成后，务必验证隔离是否生效，避免“看似分开、实则混流”的陷阱。
- 重启服务：
sudo systemctl restart rsyslog，检查状态：sudo systemctl status rsyslog - 确认监听状态：
sudo ss -tlnp | grep :514，应看到不同地址/端口分别绑定 - 用
logger -n 192.168.10.10 -P 5140 "test from eth0"发送测试日志，检查对应 Ruleset 输出路径是否收到 - 启用调试模式临时排障：
rsyslogd -f /etc/rsyslog.conf -d 2>&1 | grep -i "rs_eth0"
