ワイルドカードを使用したIPアドレスベースのrsyslogフィルタリング

Question

rsyslogを実行するためのデバッグオプションを見つけたら、実際にソリューションを直接見つけることができました。明らかに、次のようにコンソールからrsyslogdを直接呼び出すことができます。

rsyslogd -d

これにより、すべてのルール解析のリアルタイムストリームが表示されます。〜の後トーンこのトリックを使用して数回の試行錯誤を経た後、単にエスケープするのではなく、いくつかの部分が必要なため、フィルタリングルールが失敗していることを確認できました。ダブル脱出しました。これは本当に驚きました。

私の最終ルールは次のとおりです。

:fromhost-ip, regex, "10\\.[0-9]\\+\\.1\\.2" -/var/log/test.log
& ~

以下は、いくつかの成功したケースの結果です。ここではエスケープされているように+見えるはずです。公式にリンクすると、一致するものが見つからないので変です。rsyslog正規表現テスターこの方法：

Filter: check for property 'fromhost-ip' (value '10.1.1.2') regex '10\.[0-9]\+\.1\.2': TRUE

Filter: check for property 'fromhost-ip' (value '10.24.1.2') regex '10\.[0-9]\+\.1\.2': TRUE

いつかこの記事を読んでいる人が気になる場合に備えて、私が試行錯誤を経験したいくつかの例を紹介します。そのほとんどは完全な失敗でした。

Filter: check for property 'fromhost-ip' (value '10.1.1.2') regex '10.[0-9]+.1.2': FALSE

Filter: check for property 'fromhost-ip' (value '10.1.1.2') regex '^10.[0-9]+.1.2$': FALSE

Filter: check for property 'fromhost-ip' (value '10.1.1.2') regex '10\.[0-9]+\.1\.2': FALSE

Filter: check for property 'fromhost-ip' (value '10.1.1.2') regex '10\.1\.1\.2': TRUE

Filter: check for property 'fromhost-ip' (value '10.1.1.2') regex '10\.[0-9]\.1\.2': TRUE

Filter: check for property 'fromhost-ip' (value '10.1.1.2') regex '10\.[0-9]+\.1\.2': FALSE

Answer 1