Configuration de Rsyslog pour arrêter la journalisation de certains messages

13

Je souhaite arrêter rsyslog de consigner ces messages.

[168707.740364] TCP: Peer 192.168.100.1:46199/41503 unexpectedly shrunk window 2027330493:2027331431 (repaired)

J'ai essayé ceci dans le /etc/rsyslog.conf mais les messages sont toujours enregistrés.

if $msg contains 'unexpectedly' then /dev/null

Est-ce que quelqu'un peut-il me montrer la bonne direction?

rsyslog Stephen
la source

Réponses:

8

Si vous utilisez une version récente de rsyslog (7 par exemple), vous devez faire

& stop

après votre message. Ne pas le faire vous donnera

warning: ~ action is deprecated, consider using the 'stop' statement instead [try http://www.rsyslog.com/e/2307 ]
Karlo
la source
6

rsyslog a besoin d'une instruction pour arrêter la journalisation après la correspondance. Ajoutez cette ligne immédiatement après l'instruction if que vous avez déjà.

& ~

Vous devrez peut-être également déplacer les deux instructions vers le haut dans le fichier conf afin qu'elles soient analysées avant certaines des autres instructions susceptibles de les consigner dans les messages. Je change ma configuration rsyslog pour ressembler à ce qui suit

/etc/rsyslog.conf ($IncludeConfig /etc/rsyslog.d/*.conf)
/etc/rsyslog.d/40-specificdaemon.conf
/etc/rsyslog.d/99-general.conf

Cela garantit l'ordre que je veux et permet à la gestion de la configuration d'extraire facilement les mises à jour.

kashani
la source
3
& ~est déconseillé dans les versions plus récentes de rsyslog: rsyslog.com/doc/v8-stable/compatibility/v7compatibility.html . L'action ~est également connue sous le nom d'action de suppression, si vous recherchez cette page, vous verrez la note à ce sujet. Vous devriez utiliser & stopà l'avenir.
slm
2

La commande est "$ stop", pas "$ stop". Il y a là une énorme différence.

Marius Flage
la source
4
Précisez s'il vous plaît. Pour autant que je sache, c'est if ... then stopou & stop. Jamais vu une $stopvariable mentionnée nulle part. Ai-je oublié quelque chose?
mivk