如何将多台Graylog服务器日志输出至同一目标Graylog并分类溯源？

当然有靠谱的实现方案！我给你拆解一下具体步骤，完美满足多台源Graylog向同一目标节点推送日志，还能精准追踪每条日志的来源服务器：

本质是利用Graylog自带的输出（Output）功能，将源服务器的日志转发到目标Graylog，同时通过自定义静态字段标记来源标识，这样在目标端就能轻松实现分类、检索和追踪。

一、先搞定目标Graylog的接收配置 #

首先得让目标Graylog能接收来自源服务器的日志，推荐用GELF TCP/UDP输入——因为GELF格式天然支持自定义字段，非常适合传递来源信息。

• 登录目标Graylog Web界面，进入 System > Inputs
• 选择GELF TCP或GELF UDP输入类型，点击「Launch new input」
• 配置关键参数：
  • 输入名称：比如Centralized Graylog Ingest（好记就行）
  • 绑定IP：选0.0.0.0（允许所有源服务器访问）
  • 端口：自定义一个，比如12202（避免和默认GELF端口12201冲突）
  • 其他参数保持默认，点击「Save」启动输入

二、每台源Graylog的转发配置 #

接下来在每台源Graylog上配置输出规则，把日志推送到目标节点，同时打上来源标记。

1. 添加来源标识的静态字段 #

为了在目标端区分不同的源服务器，我们给每台源服务器的转发日志添加一个唯一标识字段，比如source_graylog_server，值设为这台服务器的主机名或IP（确保唯一）。

• 登录源Graylog Web界面，进入 System > Outputs
• 选择GELF Output类型，点击「Create output」
• 在配置页的Static Fields区域，点击「Add field」：
  • 字段名填source_graylog_server
  • 值填当前源服务器的唯一标识，比如Graylog-Prod-01或192.168.1.10

2. 完成GELF输出配置 #

继续完善输出的核心参数：

• 输出名称：比如Forward to Central Graylog
• 目标主机：填写目标Graylog的IP地址或域名
• 目标端口：填写刚才在目标端配置的GELF输入端口（比如12202）
• 连接类型：和目标端的输入类型保持一致（TCP对应TCP，UDP对应UDP）
• 其他参数默认即可，点击「Save」保存输出

3. 关联需要转发的日志流 #

最后把这个输出绑定到你想要转发的日志流上：

• 在输出列表找到刚创建的输出，点击「Manage streams」
• 选择需要转发的流（比如All messages全量转发，或者特定业务流）
• 点击「Associate」完成绑定，这样该流的日志就会自动推送到目标Graylog

三、目标Graylog端的分类与追踪 #

现在日志已经源源不断过来了，我们可以通过自定义字段快速实现分类和追踪：

1. 创建专属流分类不同来源的日志 #

• 进入目标Graylog的 Streams > Create stream
• 流名称：比如Graylog-Prod-01 Logs
• 添加过滤规则：source_graylog_server equals Graylog-Prod-01
• 保存并启动流，这样来自这台源服务器的日志会自动进入这个专属流
• 重复这个步骤，为每台源服务器创建对应的流

2. 快速检索与可视化追踪 #

• 直接在搜索框过滤：输入source_graylog_server:Graylog-Prod-01就能精准定位该服务器的所有日志
• 搭建仪表盘：创建仪表盘并添加基于source_graylog_server的统计面板（比如柱状图展示各源服务器的日志量趋势），直观监控各节点的日志情况

四、进阶优化建议 #

• 批量配置：如果源服务器数量多，用Ansible这类配置管理工具批量部署输出规则和静态字段，避免手动重复操作
• 传输协议选择：高流量场景优先用GELF TCP（有传输确认，避免丢包）；追求低延迟可以用UDP（但可能丢包）
• 索引隔离：在目标端为不同来源的日志创建独立的索引集（Index Sets），方便后续的检索、归档和清理

内容的提问来源于stack exchange，提问作者Simon Rouvel