facility 与 severity 筛选策略

rsyslog 按 facility（authpriv、cron、kern 等）与 severity 分流日志文件，理解映射关系才能解释为什么某类事件出现在某个文件。

facility	authpriv 认证、cron 计划任务、kern 内核、user 用户进程
规则示例	authpriv.* /var/log/secure

查看规则

grep -vE '^\s*#|^\s*$' /etc/rsyslog.conf | head -20
ls /etc/rsyslog.d/

规则里出现 authpriv.none 之类的排除写法时，对应日志会缺失，需特别记录。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌