syslog-ng_1.4.14

これずっとうまく動かなかったんだけど、やっとわかったよ。
ログホストに全部送る

source src { unix-stream("/dev/log"); internal(); };

destination loghost { udp("loghost" port(514)); };

log { source(src); destination(loghost); };

ログ受け取るほうはこれだけでいいよ。

source net { udp(ip("0.0.0.0") port(514)); };

destination hosts {

  file("/var/log/HOSTS/$HOST/$YEAR/$MONTH/$DAY/$FACILITY$YEAR$MONTH$DAY"

  owner(root) group(root) perm(0600) dir_perm(0700) create_dirs(yes));

};

log { source(net); destination(hosts); };

なるほどねぇ。
でもさ、仕方ないのかな、ホスト名がFQDNじゃないから、
同じホスト名だとかなり厳しいものがある。
俺の管理してるマシンはドメインが違って、全部ホスト名nsだったりして...
$FULLHOSTっていうマクロもドキュメントにあったけど、実装されてないぽい。
空になるもの...
ちなみにsyslog-ngはホストごとに振り分けられるだけじゃなくて、

• プログラムの名称(正規表現match)


• ログの内容の正規表現match


• UDPじゃなくてTCP接続の使用


• 当然ポート指定可能なのでstunnelとか通せる


• pipeやプログラムにもログ渡せるよ

って感じぽいです。
動いてみれば、かなり素敵。