balabit/syslog-ng

balabit/syslog-ng

镜像概述和主要用途

balabit/syslog-ng镜像包含完整模块的syslog-ng日志守护进程，容器内以前台模式运行，便于通过docker logs [containerID]查看控制台日志输出。支持使用默认配置或自定义syslog-ng.conf文件，用于日志的收集、处理和转发。

核心功能和特性

• 内置syslog-ng所有模块，功能完整
• 前台运行模式，便于日志调试和监控
• 支持默认配置或自定义配置文件
• 暴露标准日志端口，支持多种日志传输协议

暴露端口

• Syslog UDP: 514
• Syslog TCP: 601
• Syslog TLS: 6514

syslog-ng通过上述端口监听日志，并默认将日志转发至容器内/var/log/syslog文件。默认配置可在镜像的源仓库中查看。有关镜像版本信息，请访问官方Docker仓库：https://registry.hub.docker.com/u/balabit

使用方法和配置说明

使用默认配置

前提：宿主机的514（UDP）和601（TCP）端口未被占用，避免端口冲突。

基本运行命令：

bash
sudo docker run -it -p 514:514/udp -p 601:601 --name syslog-ng balabit/syslog-ng:latest

默认情况下syslog-ng不输出调试信息至控制台。如需查看详细调试日志，启动容器时添加-edv参数：

bash
sudo docker run -it -p 514:514/udp -p 601:601 --name syslog-ng balabit/syslog-ng:latest -edv

使用自定义syslog-ng配置

通过挂载本地配置文件覆盖默认配置，将自定义syslog-ng.conf挂载至容器内/etc/syslog-ng/syslog-ng.conf路径：

bash
sudo docker run -it -v "$PWD/syslog-ng.conf":/etc/syslog-ng/syslog-ng.conf balabit/syslog-ng:latest

从其他容器读取日志

以下示例演示如何配置syslog-ng从其他容器读取日志。

场景：读取运行中的apache2容器日志（假设apache2容器日志通过卷挂载在/var/log/apache2/），并转发至远程主机1.2.3.4:514。

1. 创建自定义配置文件syslog-ng.conf（当前目录）：

@version: 3.7

source s_apache {
  file("/var/log/apache2/access.log");
};

destination d_remote {
  tcp("1.2.3.4" port(514));
};

log {
  source(s_apache);
  destination(d_remote);
};

2. 启动syslog-ng容器，挂载apache2容器的卷和自定义配置：

bash
sudo docker run -it --volumes-from [apache2容器ID] -v "$PWD/syslog-ng.conf":/etc/syslog-ng/syslog-ng.conf balabit/syslog-ng:latest

进入运行中的容器

若容器名称为"syslog-ng"，可通过以下命令进入容器内部：

bash
sudo docker exec -it syslog-ng /bin/bash

更多信息

有关在Docker中运行中央日志服务器及其他syslog-ng Docker使用场景的详细信息，请查看博客文章：Your central log server in Docker。

FAQ

capabilities

当配置需要时，syslog-ng会尝试在启动时设置POSIX capabilities，但Docker默认不授予容器capabilities。解决方法有三种：

• 若无需任何capabilities（如不监听1024以下端口，即不需要NET_BIND_SERVICE），启动时使用--no-caps选项。
• 若明确所需capabilities类型，使用Docker的--cap-add选项添加特定capabilities。
• （仅开发/测试环境）通过--privileged选项授予容器所有capabilities，但不推荐用于生产环境。