balabit/syslog-ng-rpm

syslog-ng（AlmaLinux 9 / RPM，systemd管理）

官方syslog-ng OSE的RPM版Docker镜像，基于almalinux:9构建，以systemd服务形式运行syslog-ng。如需Debian-based版本（entrypoint模式，syslog-ng -F作为PID 1），请查看https://hub.docker.com/r/balabit/syslog-ng。

镜像包含内容

• AlmaLinux 9基础镜像，每周重建以更新最新安全补丁；
• 官方syslog-ng OSE DNF仓库提供的syslog-ng及所有syslog-ng-*模块子包（为精简镜像，有意排除Java模块syslog-ng-java）；
• 通过systemd drop-in预加载jemalloc，优化高负载下的内存分配；
• systemd作为PID 1，syslog-ng.service默认启用并在容器启动时自动运行。

可用标签

多架构支持：linux/amd64、linux/arm64。

快速启动

由于systemd作为PID 1运行，容器需要可写的cgroup层级和tmpfs /run，具体命令因主机环境而异。

Linux主机（cgroup v2，大多数现代发行版）

shell
docker run -d --name syslog-ng-rpm \
    --privileged --cgroupns=host \
    -p 514:514/udp -p 601:601/tcp -p 6514:6514/tcp \
    docker.xuanyuan.run/balabit/syslog-ng-rpm:latest

Docker Desktop（macOS / Windows）

Docker Desktop的LinuxKit VM需显式挂载tmpfs和cgroup：

shell
docker run -d --name syslog-ng-rpm \
    --privileged --cgroupns=host \
    --tmpfs /run --tmpfs /run/lock \
    -v /sys/fs/cgroup:/sys/fs/cgroup:rw \
    -e SYSTEMD_LOG_TARGET=console \
    -p 514:514/udp -p 601:601/tcp -p 6514:6514/tcp \
    docker.xuanyuan.run/balabit/syslog-ng-rpm:latest

SYSTEMD_LOG_TARGET=console可选，用于将systemd启动日志路由到容器stdout以便调试。

检查与控制syslog-ng

syslog-ng作为systemd单元运行，可使用systemctl和journalctl命令：

shell
docker exec -it syslog-ng-rpm systemctl status syslog-ng
docker exec -it syslog-ng-rpm journalctl -u syslog-ng -e
docker exec -it syslog-ng-rpm syslog-ng-ctl stats
docker exec -it syslog-ng-rpm syslog-ng-ctl healthcheck

注意：systemd日志写入journal而非容器stdout，docker logs通常为空，需使用journalctl -u syslog-ng（或添加-e SYSTEMD_LOG_TARGET=console）查看启动输出。

配置

镜像默认提供极简配置文件/etc/syslog-ng/syslog-ng.conf，将日志写入容器内/var/log/messages和/var/log/messages-kv.log。如需自定义配置：

shell
docker run -d --name syslog-ng-rpm \
    --privileged --cgroupns=host \
    --tmpfs /run --tmpfs /run/lock \
    -v /sys/fs/cgroup:/sys/fs/cgroup:rw \
    -v /path/to/your/syslog-ng.conf:/etc/syslog-ng/syslog-ng.conf:ro \
    -p 514:514/udp -p 601:601/tcp -p 6514:6514/tcp \
    docker.xuanyuan.run/balabit/syslog-ng-rpm:latest

若需持久化日志，可挂载主机目录到日志输出路径（如-v /path/to/host/logs:/var/log/syslog-ng），并在配置中指向该路径。修改配置后，无需重启容器即可重载：

shell
docker exec syslog-ng-rpm systemctl reload syslog-ng

暴露端口

TLS注意事项：默认配置无密钥/证书对，因此6514端口虽暴露但TLS监听器未激活（启动时会警告）。需挂载包含tls(key-file(...) cert-file(...))块的自定义配置以启用。

健康检查

镜像注册了Docker健康检查，每2分钟调用syslog-ng-ctl healthcheck，编排工具可通过docker inspect/docker ps检测服务状态。

停止容器

systemd可通过SIGRTMIN+3优雅停止（镜像已设置STOPSIGNAL），直接执行docker stop syslog-ng-rpm即可。

调试

• 交互式shell：docker exec -it syslog-ng-rpm /bin/bash；
• 启用systemd详细启动日志：添加-e SYSTEMD_LOG_TARGET=console；
• syslog-ng调试输出：
  1. 停止服务后前台运行：

     shell
     docker exec -it syslog-ng-rpm bash -c 'systemctl stop syslog-ng && /usr/sbin/syslog-ng -Fedv'
     

  2. 通过systemd drop-in持久化开启：

     shell
     ORIG_EXEC=$(systemctl cat syslog-ng | awk -F= '/^ExecStart=/ { sub(/^ExecStart=/, ""); print; exit }')
     mkdir -p /etc/systemd/system/syslog-ng.service.d
     cat > /etc/systemd/system/syslog-ng.service.d/20-debug.conf <<EOF
     [Service]
     ExecStart=
     ExecStart=${ORIG_EXEC} -edv
     EOF
     systemctl daemon-reload
     systemctl restart syslog-ng
     journalctl -u syslog-ng -f
     

FAQ - Linux权限

镜像以--privileged启动，因systemd需要该权限。若调整为低权限模式（如移除--privileged并仅授予必要权限），syslog-ng可能出现权限管理错误，可通过以下方式解决：在ExecStart后添加--no-caps禁用权限管理，或仅授予CAP_NET_BIND_SERVICE和CAP_SYSLOG。

源码与支持

• 源码/Dockerfile：https://github.com/syslog-ng/syslog-ng/blob/develop/docker/syslog-ng.rpm.dockerfile
• 构建与运行指南：https://github.com/syslog-ng/syslog-ng/blob/develop/docker/README.md
• 文档：https://syslog-ng.github.io
• 问题反馈：https://github.com/syslog-ng/syslog-ng