如何用正则表达式拆分Rsyslog MSG？新RainerScript模板失效求助

核心问题分析 #

你的RainerScript配置失效主要源于动态模板使用的疏漏，以及潜在的权限或匹配逻辑细节问题。

修正后的完整配置 #

# 提前创建目标目录并设置权限，避免写入失败
# mkdir -p /var/log/tel && chown syslog:adm /var/log/tel

# 定义SHELL日志的动态文件名模板
template(name="HOST_SHELL" type="string" string="/var/log/tel/%$YEAR%-%$MONTH%-%$DAY%-HOST-SHELL.log")

# 定义ERRORS日志的动态文件名模板（适配未来需求）
template(name="HOST_ERRORS" type="string" string="/var/log/tel/%$YEAR%-%$MONTH%-%$DAY%-HOST-ERRORS.log")

# 匹配SHELL类日志并写入对应文件
if re_match($msg, 'hostname0. %%01SHELL') then {
    action(type="omfile" dynafile="HOST_SHELL")
    stop
}

# 匹配ERRORS类日志并写入对应文件（未来启用直接取消注释）
# if re_match($msg, 'hostname0. %%01ERRORS') then {
#     action(type="omfile" dynafile="HOST_ERRORS")
#     stop
# }

关键修正点说明 #

• 修正dynafile参数拼写：原配置中写成了dynaFile，RainerScript对参数名大小写敏感，需统一为小写的dynafile
• 补充目录权限处理：确保/var/log/tel目录存在且Rsyslog进程（通常以syslog用户运行）拥有写入权限，这是日志无输出的常见隐性原因
• 保留正则匹配逻辑：hostname0. %%01SHELL中的.可匹配任意单个字符，能覆盖hostname01、hostname02等主机名，与旧语法逻辑一致
• 提前预留ERRORS规则：将未来需要的匹配规则注释保留，后续启用只需取消注释即可

验证步骤 #

1. 保存配置后重启Rsyslog服务：systemctl restart rsyslog
2. 触发设备生成目标日志
3. 检查对应日期的日志文件：cat /var/log/tel/$(date +%Y-%m-%d)-HOST-SHELL.log

内容的提问来源于stack exchange，提问作者Игорь