rsyslog server為 ubuntu 系統
透過 /etc/rsyslog.conf 啟用了服務
並在其他台 vm 把log全部轉發
但目前發現 log server 本體的
/var/log/syslog
/var/log/auth.log
以飛快的速度長大, 似乎是連其他台的log全部收納進來
請問有較佳的配置設定, 符合到只收重要的log
而不是全部收納嗎?

目前vm有安裝checkpoint client, 跟啟用supervisord
這兩個服務因為log產出量太大, 因此不打算紀錄

參考網路文章 syslog server的設定如下

# provides UDP syslog reception
module(load="imudp")
input(type="imudp" port="514")

# provides TCP syslog reception
module(load="imtcp")
input(type="imtcp" port="514")


$template remote-incoming-logs,"/var/log/rsyslog/%HOSTNAME%/%PROGRAMNAME%_%$YEAR%-%$MONTH%-%$DAY%.log"
*.* ?remote-incoming-logs

其他vm的轉發設定如下

if $programname == 'supervisord' and $syslogseverity-text == 'info' then stop
if $programname == 'cpla-sandbox' then stop
if $programname == 'kernel' then stop
if $programname == 'systemd' then stop
if $programname == 'CRON' then stop
if ($hostname == 'may' or $hostname == 'july') and ($programname == 'sudo') then {
    stop
}


auth,authpriv.*               @@172.16.17.180
local7.*                      @@172.16.17.180
local4.*                      @@172.16.17.180
kern.*                        @@172.16.17.180