Die /var/log/syslog füllt sich unter Debian Linux sehr schnell mit viel nichtssagendem Ballast, weshalb ich mich heute dazu entschied, mal ein wenig aufzuräumen. Die Meldungen von cron (läuft bei mir jede Minute mit irgendwelchen Befehlen), dhcpd (im Netzwerk gibt es ein Gerät, dass jede Sekunde einen DHCP-Request sendet) sowie snmpd (cacti frägt den Systemzustand in jeder Minute ab) sollten neu aus der /var/log/syslog in eigene Log-Dateien ausgelagert werden.

Folgende Anpassungen an /etc/syslog-ng/syslog-ng.conf taten den Trick.

Als erstes legt man neue Destinationen fest:

destination df_cron { file("/var/log/cron.log"); };
destination df_dhcpd { file("/var/log/dhcpd.log"); };
destination df_snmpd { file("/var/log/snmpd.log"); };

Anschliessend legt man vier neue Filter fest:

filter f_cron { facility(cron); };
filter f_dhcpd { program(dhcpd); };
filter f_snmpd { program(snmpd); };
filter f_noise { not filter(f_snmpd) and not filter(f_dhcpd) and not filter(f_cron); };

Schlussendlich baut man diese als Log-Anweisungen zusammen:

log {
        source(s_all);
        filter(f_syslog);
        filter(f_noise);
        destination(df_syslog);
};

log {
        source(s_all);
        filter(f_cron);
        destination(df_cron);
};

log {
        source(s_all);
        filter(f_dhcpd);
        destination(df_dhcpd);
};

log {
        source(s_all);
        filter(f_snmpd);
        destination(df_snmpd);
};

Nachdem man die Konfigurationsdatei gespeichert hat, startet man syslog-ng neu und erfreut sich über die Ruhe, die nun einkehrt:

# /etc/init.d/syslog-ng restart
$ tail -f /var/log/syslog

Nachtrag

Natürlich wollte ich mir noch ein Bild machen, wie die Situation vor diesen neuen Umleitungen aussah. Erschreckend:

# cat syslog | cut -d " " -f 6 | sort | cut -d "[" -f 1 | sort | uniq -c | sort -r -n
   2534 dhcpd:
   2215 /USR/SBIN/CRON
   1688 snmpd
    392 kernel:
     98 mt-daapd
     55 syslog-ng
     40 postfix/qmgr
     36 avahi-daemon
     31 smartd
     26 ovpn-server
     23 named
     21 postfix/smtp
     19 postfix/cleanup
     18 postfix/pickup
      9 mysqld
      8 apcupsd
      6 ntpdate
      6 /etc/mysql/debian-start
      4 /usr/sbin/cron
      4 postfix/tlsmgr
      3 arpwatch:
      2 postfix/master
      2 mysqld_safe
      1 shutdown
      1 postfix/local
      1 mdadm
      1 init:

Mein Gefühl hat sich bestätigt: Ich habe die richtigen „Übeltäter“ in eigene Dateien ausgelagert.