rsyslog 集中收集：把日志搬离本地

集中日志服务器是防篡改与长期留存的基础：客户端将日志转发到服务器，服务器按主机与程序分类存储，并限制本地清理权限。

客户端转发配置

# /etc/rsyslog.d/50-remote.conf
*.* @@10.0.0.10:514        # @@ 表示 TCP；生产建议叠加 TLS 传输
# 单独转发认证日志可提高可读性
authpriv.* @@10.0.0.10:514

# /etc/rsyslog.d/10-remote.conf
$template RemoteLogs,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?RemoteLogs
& stop

服务器侧目录权限最小化，仅日志服务账号可写；本地删除不影响服务器副本，形成交叉验证。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌