Encaminhar syslog com rsyslog via TCP usando uma fila assistida por disco

Objetivo

Encaminhar todo o tráfego de logs locais de um host com rsyslog para um coletor central via TCP, com um buffer local que mantém as mensagens em fila no disco caso o coletor ou a rede fiquem indisponíveis, em vez de descartá-las.

Pré-requisitos

Acesso root; rsyslog instalado e em execução (rsyslogd -v); endereço e porta do coletor; espaço livre em disco, em um sistema de arquivos onde o usuário do rsyslog possa gravar, para o diretório de spool.

Passos

1. O /etc/rsyslog.conf padrão das distribuições (Debian, Ubuntu, RHEL) inclui todos os arquivos de /etc/rsyslog.d/ que correspondam a *.conf, na ordem alfabética dos nomes; o próprio exemplo da documentação usa um arquivo numerado, como /etc/rsyslog.d/10-myapp.conf. Crie um novo drop-in em vez de editar o rsyslog.conf diretamente, para que a alteração fique isolada e seja fácil de remover: /etc/rsyslog.d/60-forward.conf.
2. Nesse arquivo, defina uma fila assistida por disco e uma ação que encaminhe tudo via TCP:

# queue files go to the workDirectory already set in rsyslog.conf
action(type="omfwd"
       target="collector.example.org" port="514" protocol="tcp"
       queue.type="LinkedList"
       queue.filename="fwd01"
       queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on"
       action.resumeRetryCount="-1")

queue.type="LinkedList" junto com queue.filename define uma fila assistida por disco: normalmente ela opera em memória e passa a gravar em disco, no diretório de trabalho, ao atingir a marca d'água alta (por padrão 90% de queue.size, que por padrão é de 1000 mensagens em uma fila de ação). Com queue.saveOnShutdown="on", as mensagens em fila também são salvas no desligamento. action.resumeRetryCount="-1" faz o encaminhamento ser tentado indefinidamente, em vez de desistir após um número fixo de tentativas. 3. Descubra o diretório de trabalho com grep -ri workdirectory /etc/rsyslog.conf (Debian/Ubuntu: /var/spool/rsyslog; RHEL: /var/lib/rsyslog) e não o defina uma segunda vez. Verifique se o usuário com o qual o rsyslogd roda pode gravar nele e se há espaço livre suficiente para a janela de indisponibilidade esperada; queue.maxDiskSpace limita quanto espaço ele pode consumir. 4. Valide a configuração sem reiniciar o daemon em execução: rsyslogd -N1 -f /etc/rsyslog.conf faz apenas a verificação da configuração, conforme a opção -N em rsyslogd(8); ele exibe os erros e não inicia o registro de logs. 5. Aplique a alteração: systemctl restart rsyslog. Um reload não basta: segundo rsyslogd(8), o SIGHUP apenas faz o rsyslogd fechar seus arquivos abertos, sem reler a configuração. Reiniciar o serviço não é o mesmo que reiniciar o sistema. 6. Teste o encaminhamento: execute logger "forward test $(date -u +%FT%TZ)" no host de origem e verifique se a mensagem chega ao coletor. Simule uma indisponibilidade bloqueando a porta do coletor com uma regra de firewall, gere mais mensagens do que a marca d'água alta (por exemplo, 2000 chamadas a logger; um punhado de mensagens permanece em memória) e confirme que os arquivos de fila aparecem no diretório de trabalho e são esvaziados depois que o bloqueio é removido.

Resultado esperado

rsyslogd -N1 não relata erros; as mensagens de teste chegam ao coletor; durante uma indisponibilidade simulada, os arquivos de fila crescem no diretório de trabalho e são enviados quando a conectividade volta, sem lacunas no log do coletor além da janela de indisponibilidade.

Limites e base de verificação

Baseado na documentação do rsyslog sobre arquivos de inclusão, filas e parâmetros de fila do RainerScript, e em rsyslogd(8). Para desfazer, remova o arquivo drop-in e reinicie o rsyslog; os arquivos de fila que sobrarem no diretório de trabalho podem ser apagados depois de esvaziados. Uma fila com tentativas ilimitadas e sem limite em queue.maxDiskSpace pode encher o disco durante uma indisponibilidade longa — defina sempre um limite dimensionado de acordo com a partição.