rsyslog的配置文件使用方法

参考地址：

http://www.rsyslog.com/doc/v8-stable/configuration/property_replacer.html

rsyslog消息模板的定义规则

"%msg:1:2%" :
==》读取从pos从1到2的数据
"%msg:::lowercase%" :
==》将整个消息转换为小写
"%msg:10:$%" :
==》截取pos从10到最后的消息内容
"%msg:R:.*Sev:. \(.*\) \[.*–end%" :
==》取"*Sev:."和[.*之间内的所有内容

R,<regexp-type>,<submatch>,<nomatch>,<match-number>
regexp-type :
==》"BRE" (基本的正则表达式)或"ERE" (扩展的正则表达式)
0-9是标识submatch的，0标识所有内容，1-9标识相应序号的内容。(和shell类似，其实就是正则表达式中括号的用法)
==》如果相同的实例被匹配到，那么第一个匹配的是0，之后的匹配依次排列
nomatch ：
==》标识没有匹配到的时候写什么
实例：
%msg:R,ERE,1,FIELD:for (vlan[0-9]\*):--end%
%msg:R,ERE,1,FIELD,1:for (vlan[0-9]\*):--end%
"F,44" :
==》设置分隔符(用ACSII表示)，针对分隔符，在引用时，0代表没找到，匹配的实例从1开始数
%msg:F,59:3% :
==》以分号为分隔符，提取第三个区域的内容
"%msg:F,59,5:3,9%" :
==》以分号为分隔符，从第5个子串中，提取3-6位的字符
"%msg:F,32+:2%" :
==》如果多个分隔符(比如：日志中有n个空格作为分割，那么可以添加一个+)

rsyslog的配置文件使用方法

原文：http://www.cnblogs.com/bugutian/p/6395085.html