在Java服务端使用syslog作为日志系统

在Java服务端使用syslog作为日志系统

1. 为什么要用syslog?

使用syslog 的最大理由就是可以集中处理日志，通常一个中小型的服务端10来台机器，如果日志集中到一台服务器处理起来就非常方便。

其次，你可以很方便地利用syslog-ng 这一类的服务器来对日志进行分流，在只需要跟踪某一种类型的日志时就比较方便。

除此之外，用文件做日志在部署时总会出现目录不存在，目录没有权限的情况，而用syslog 就没有这个问题。

2. 配置log4j

把如下的一段加入log4j.properties 即可把日志重定向到syslog(同时保留了终端，方便调试)

log4j.appender.SYSLOG=https://www.360docs.net/doc/a418813856.html,.SyslogAppender

log4j.appender.SYSLOG.syslogHost=192.168.101.101

log4j.appender.SYSLOG.facility=local3

log4j.appender.SYSLOG.facilityPrinting=false

https://www.360docs.net/doc/a418813856.html,yout=org.apache.log4j.PatternLayout

https://www.360docs.net/doc/a418813856.html,yout.ConversionPattern=%d{dd-MM-yyyy

HH:mm:ss} %-5p (%C:%M:%L) - %m%n

log4j.appender.CONSOLE=org.apache.log4j.ConsoleAppender

https://www.360docs.net/doc/a418813856.html,yout=org.apache.log4j.PatternLayout

https://www.360docs.net/doc/a418813856.html,yout.ConversionPattern=%d{dd-MM-yyyy

HH:mm:ss} %-5p (%C:%M:%L) - %m%n

log4j.rootLogger=info, CONSOLE, SYSLOG

syslog 的每一条记录有两个属性，一个是facility(可用于日志分类), 另外一个是priority.

facility 就在上面的log4j.appender.SYSLOG.facility 属性中配置，缺省值是user, 对于服务器，我觉得在local0 到local7 之间选一个比较好，便于将日志分类。所有可用的facility 可以参考log4j的文档。

priority 在我们用log.error, log.warn 之类地命令进行日志操作时就已经指定了，

syslog 有8 个优先级，log4j 用了其中的5 个，对应关系如下(syslog的ALERT, CRIT, NOTICE 3个等级未被使用)

log4j.FATAL = 0 = syslog.EMERG

log4j.ERROR = 3 = syslog.ERR

log4j.WARN = 4 = syslog.WARNING

https://www.360docs.net/doc/a418813856.html, = 6 = https://www.360docs.net/doc/a418813856.html,

log4j.DEBUG = 7 = syslog.DEBUG

log4j.appender.SYSLOG.syslogHost 这个配置选项用于配置syslog 机的IP,

log4j.appender.SYSLOG.facilityPrinting 设为true 时会在每条日志前打印

"local3:", 在日志没有分流时打开此选项可以用tail -f /var/log/syslog | grep local3来只跟踪从你的服务器传来的日志。

syslog 服务端

我一般使用syslog-ng 来作为syslog 服务器，安装后打开

/etc/syslog-ng/syslog-ng.conf，把"udp()" 这一行取消掉注释后重启syslog-ng 服务即可正常使用，所有的日志会被输出到/var/log/syslog。（注意，如果日志服务器

在外网，建议修改/etc/hosts.deny 和/etc/hosts.allow, 防止被人灌数据灌着玩）

一般我们会把服务器的日志定向一个单独的文件来进一步处理，最简单的情况就是把如下的一段追加到/etc/syslog-ng/syslog-ng.conf, 然后重启syslog-ng 服务。

filter f_foo { facility(local3); };

destination df_foo { file("/var/log/foo.log" owner("foo")); };

log {

source(s_all);

filter(f_foo);

filter(f_at_least_warn);

destination(df_foo);

};

syslog-ng 也支持把日志的输出重定向到你的程序，具体可以参见syslog-ng 的文档。

最后你可能需要把你的日志文件加入logrotate 的配置, 这样方便日志滚动。