目次 [ close ]
  1. Linuxのログについて調べていたら syslogが出てきた
  2. syslog に似た rsyslogという単語が出てきた
  3. 用語の意味や違いについて調べてみた
  4. syslogについての結論
  5. 最後に – ログはシステムの声、耳を傾けよう

「Linuxのサーバー管理、なんだか難しそう…」そう感じているあなた。特に、システムが出力する無数の「ログ」は、トラブルシューティングやセキュリティ監視に不可欠だと聞くけれど、一体どこから手をつければいいのか途方に暮れてしまいますよね。

私もLinuxを学び始めた頃、ログの重要性は理解しつつも、その仕組みについてはチンプンカンプンでした。そんな中、必ずと言っていいほど目にするのが「syslog」というキーワード。ふむふむ、Linuxのログ記録の標準的な仕組みなんだな、と理解したのも束の間、今度は「rsyslog」という、なんとも似た響きの単語が登場し、頭の中は「？？？」でいっぱいに。

「syslog と rsyslog って、一体何が違うの？」「どっちが新しいの？」「今はどっちを使えばいいの？」

そんな疑問が次々と湧いてきました。きっと、あなたも同じような疑問を抱えているのではないでしょうか？

そこで今回は、かつての私と同じようにLinuxのログの世界で迷子になっているあなたのために、syslogとrsyslogの用語の意味や違い、そしてそれぞれの役割について、じっくりと調べて分かったことをまとめてみました。この記事を読めば、Linuxのログ管理の基本がスッキリ理解できるはずです！

Linuxのログについて調べていたら syslogが出てきた

Linuxシステムは、日夜さまざまな出来事を記録しています。ユーザーのログイン、プログラムの起動やエラー、セキュリティ関連のイベントなど、これらの記録は「ログメッセージ」としてファイルに保存されます。このログは、システムに何か問題が発生した際の原因究明や、不正アクセスの試みといったセキュリティインシデントの発見に役立つ、いわばシステムの「航海日誌」のようなものです。

このログをどのように収集し、管理するのか？その基本的な仕組みとして古くから存在するのが「syslog」です。

syslogとは？ – 標準的なログ記録の仕組み

syslogは、もともと1980年代にSendmailというメール転送エージェントのために、Eric Allman氏によって開発された仕組みです。その後、BSD（Berkeley Software Distribution）系UNIXに組み込まれ、多くのUNIX系OSやネットワーク機器でログメッセージを収集・転送するための標準的な方法として広く普及しました。

重要なのは、syslogが単一のプログラムを指すのではなく、以下の2つの側面を持つ「仕組み全体」を指す言葉であるということです。

  1. ログメッセージのフォーマットとプロトコル:
    • プログラムがログメッセージを生成する際の標準的な形式。
    • 生成されたログメッセージを、ネットワーク経由で他のサーバー（ログ収集サーバー）に転送するための通信規約（プロトコル）。主にUDP/514ポートが使われますが、信頼性を高めるためにTCPも利用されることがあります。
  2. API（Application Programming Interface）:
    • アプリケーションがsyslogの仕組みを利用してログメッセージを送信するための関数のセット。C言語の syslog() 関数などがこれにあたります。

つまり、アプリケーション開発者はsyslog APIを使ってログメッセージをシステムに送り、システム側（多くはsyslogデーモンと呼ばれる常駐プログラム）がそのメッセージを受け取って、設定に基づいてファイルに書き出したり、他のサーバーに転送したりする、という流れです。

syslogのメッセージ構成要素 – ファシリティとプライオリティ

syslogで扱われるログメッセージは、主に以下の2つの情報を持っています。

  • ファシリティ (Facility): ログメッセージの生成元を示す情報です。例えば、以下のような種類があります。
    • kern: カーネルからのメッセージ
    • user: ユーザープロセスからのメッセージ
    • mail: メールシステムからのメッセージ
    • auth または authpriv: 認証・セキュリティ関連のメッセージ
    • cron: cronデーモン（定期実行タスク）からのメッセージ
    • daemon: 各種デーモンプロセスからのメッセージ
    • local0 ～ local7: ローカルで使用するために予約されたファシリティ
  • プライオリティ (Priority) / 重大度 (Severity Level): メッセージの重要度を示します。数値が低いほど緊急度が高いとされています。
    • emerg (0): システムが使用不能 (Emergency)
    • alert (1): 直ちに対応が必要 (Alert)
    • crit (2): 致命的な状態 (Critical)
    • err (3): エラー状態 (Error)
    • warn (4): 警告状態 (Warning)
    • notice (5): 通常だが重要な情報 (Notice)
    • info (6): 一般情報 (Informational)
    • debug (7): デバッグ用情報 (Debug)

これらのファシリティとプライオリティの組み合わせによって、ログメッセージの出力先ファイルや転送ルールを細かく制御することができます。例えば、「カーネルからのエラーメッセージ（kern.err）は /var/log/kern.log に記録し、かつコンソールにも表示する」といった設定が可能です。

syslogd – 古典的なsyslogデーモン

実際にsyslogメッセージを受け取り、処理を行うプログラムを「syslogデーモン」と呼びます。伝統的に使われてきたのが「syslogd」という名前のデーモンです。（ディストリビューションによっては sysklogd というパッケージ名で提供されていることもありました）。

この syslogd は、設定ファイル（多くは /etc/syslog.conf）に従って、受信したログメッセージをローカルのファイルに書き込んだり、指定された他のホストにネットワーク転送したりする役割を担っていました。非常にシンプルで軽量なデーモンですが、一方で機能的な制約もありました。例えば、ログのローテーション（古いログをアーカイブし、新しいログファイルを作成する機能）は logrotate といった別のツールと連携する必要があったり、TCPでの確実なログ転送や、より高度なフィルタリング機能は限定的でした。

syslog に似た rsyslogという単語が出てきた

さて、syslogの基本的な仕組みが分かってきたところで、冒頭の疑問に戻りましょう。「rsyslog」とは一体何者なのでしょうか？

syslogについて調べていると、特に最近のLinuxディストリビューションに関する情報では、syslogd よりも rsyslogd (rsyslogデーモン) や、設定ファイルとして /etc/rsyslog.conf や /etc/rsyslog.d/ といった記述を多く見かけるはずです。

そう、rsyslog は、伝統的な syslogd を置き換える形で登場した、より高機能で信頼性の高いsyslog実装の一つなのです。

rsyslogとは？ – 高機能なsyslogデーモン

rsyslogは「Reliable & Extended Syslog」の略とも言われ、その名の通り、信頼性と拡張性を大幅に向上させたsyslogプロトコルの実装です。Rainer Gerhards氏によって開発が開始され、現在では多くの主要なLinuxディストリビューション（例えば、Red Hat Enterprise Linux、Ubuntu、Debianなど）でデフォルトのsyslogデーモンとして採用されています。

rsyslogも、syslogの標準的なプロトコルやメッセージフォーマットに準拠しているため、基本的な互換性は保たれています。つまり、従来のsyslog APIを使ってログを送信するアプリケーションは、そのままrsyslog環境でも動作します。しかし、その内部実装や提供する機能は、伝統的な syslogd と比べて格段にパワフルになっています。

rsyslogの主な特徴とメリット

では、具体的にrsyslogはどのような点が優れているのでしょうか？

  1. 信頼性の高いログ転送:
    • 伝統的なsyslogdではUDPによるログ転送が主でしたが、UDPはパケットロスが発生しても再送されず、ログが欠損する可能性がありました。
    • rsyslogは、TCP や TLS (SSL) を使った暗号化されたログ転送を標準でサポートしています。これにより、ネットワーク経由でのログ転送の信頼性とセキュリティが大幅に向上します。ログメッセージが途中で失われたり、盗聴されたりするリスクを低減できます。
  2. 高性能:
    • マルチスレッドアーキテクチャを採用しており、大量のログメッセージを効率的に処理できます。特に大規模なシステムや、ログの発生頻度が高い環境でその性能を発揮します。
  3. 柔軟で強力なフィルタリング:
    • 伝統的な syslog.conf のファシリティとプライオリティに基づくフィルタリングに加え、rsyslogではより複雑で柔軟なフィルタリングルールを記述できます。
    • メッセージの内容（特定のキーワードを含むかなど）、ホスト名、プログラム名など、さまざまな条件に基づいてログを処理できます。正規表現を使ったフィルタリングも可能です。
  4. 豊富な出力プラグイン:
    • ログの出力先として、ローカルファイルだけでなく、データベース（MySQL, PostgreSQL, Oracleなど）、Elasticsearch, Kafkaといった多様なストレージやメッセージキューに直接ログを書き出すことができます。これにより、ログデータの分析や活用が容易になります。
  5. 柔軟なテンプレート機能:
    • ログメッセージの出力フォーマットを自由にカスタマイズできます。JSON形式で出力したり、特定の情報を付加したりすることが可能です。これにより、他のログ分析ツールとの連携がスムーズになります。
  6. キューイングシステム:
    • 出力先（ファイルやネットワーク、データベースなど）が一時的に利用できない場合でも、ログメッセージをメモリやディスク上のキューに保持し、出力先が復旧次第、順次送信する機能があります。これにより、一時的な障害によるログの損失を防ぎます。
  7. 設定のモジュール化:
    • 設定ファイルは /etc/rsyslog.conf がメインですが、/etc/rsyslog.d/ ディレクトリ以下に .conf ファイルを配置することで、設定をモジュール化して管理できます。これにより、特定のアプリケーション用の設定を追加したり、管理がしやすくなったりします。

これらの特徴により、rsyslogは現代の複雑なシステム環境におけるログ管理の要求に応えることができる、非常に強力なツールとなっています。

用語の意味や違いについて調べてみた

ここまでで、syslogとrsyslogがそれぞれ何であるか、おおよそ掴めてきたのではないでしょうか。ここで、改めて両者の関係性と違いを整理してみましょう。

syslog と rsyslog の関係性

  • syslog: ログメッセージの標準的なフォーマット、プロトコル、APIといった「仕組み」や「規格」そのものを指す広い概念です。
  • rsyslog: そのsyslog規格を実装した具体的なソフトウェア（デーモン）の一つです。rsyslogd というプロセス名で動作します。

例えるなら、「HTTP」がウェブページをやり取りするための「規格」であるのに対し、「Apache HTTP Server」や「Nginx」がその規格を実装した「ウェブサーバーソフトウェア」である、という関係に似ています。同様に、「syslog」がログの「規格」であり、「rsyslog」や「syslogd (sysklogd)」、「syslog-ng」などがその規格を実装した「ログ管理ソフトウェア」と言えます。

syslogd (sysklogd) と rsyslog の違い

特徴syslogd (sysklogd)rsyslog
開発時期古典的、1980年代～比較的新しい、2004年～
信頼性(転送)主にUDP (ロス可能性あり)TCP, TLS/SSLサポート (高信頼、暗号化)
パフォーマンスシングルスレッド、比較的低速マルチスレッド、高性能
フィルタリングファシリティ/プライオリティベース、単純高度なフィルタリング (メッセージ内容、ホスト名、正規表現など)
出力先ローカルファイル、リモートsyslogサーバー(UDP)ローカルファイル、リモートsyslogサーバー(TCP/TLS)、DB、Elasticsearch、Kafkaなど
フォーマット基本的なsyslogフォーマット柔軟なテンプレート機能によるカスタマイズ可能 (JSONなど)
キューイング限定的または無しメモリ/ディスクキューによる高信頼性
設定/etc/syslog.conf (比較的シンプル)/etc/rsyslog.conf, /etc/rsyslog.d/ (高機能だが複雑になることも)
現在の主流古いシステムで見られることがある多くの現行Linuxディストリビューションでデフォルト

このように比較すると、rsyslogがいかに多くの面でsyslogdを凌駕しているかが分かります。

他のsyslog実装: syslog-ng

rsyslogの他にも、高機能なsyslog実装として「syslog-ng (syslog new generation)」も有名です。syslog-ngも、信頼性の高いログ転送（TCP/TLS）、高度なフィルタリング、多様な出力先（データベース、メッセージキューなど）、柔軟なフォーマット指定といった特徴を持ち、rsyslogとしばしば比較されます。

rsyslogとsyslog-ngは、どちらも非常に高機能であり、どちらを選択するかは、設定の記述方法の好み、特定の機能要件、あるいはコミュニティのサポート状況などによって変わってくるでしょう。ただ、多くの主要なLinuxディストリビューションがデフォルトでrsyslogを採用しているため、特別な理由がない限りはrsyslogから学び始めるのが一般的かもしれません。

systemd-journald との関係は？

最近のLinuxディストリビューションに触れていると、「systemd-journald」という言葉も耳にするかもしれません。これは、systemd initシステムの一部として提供されるログ管理の仕組みです。

journaldは、カーネル、initrd、各種サービスなど、システムのあらゆる場所からのログメッセージを収集し、構造化されたバイナリ形式で保存します。従来のテキストベースのログファイルとは異なり、メタデータ（ユニット名、プロセスID、ユーザーIDなど）が豊富に含まれており、強力なクエリ機能（journalctl コマンド）を提供します。

多くのシステムでは、rsyslog（またはsyslog-ng）はjournaldと連携して動作します。具体的には、journaldが収集したログをrsyslogが読み取り、設定に基づいてファイルに書き出したり、リモートサーバーに転送したりする、という構成が一般的です。つまり、journaldが一次的なログ収集と構造化を担当し、rsyslogが永続化や外部転送、従来のsyslog互換性を提供する、という役割分担です。

このあたりは少し話が複雑になるので、今回は「rsyslogはsystemd-journaldとも連携できるんだな」程度に留めておけば十分でしょう。

syslogについての結論

さて、長い旅でしたが、syslogとrsyslogに関する謎は解けてきたでしょうか？

結論をまとめると、以下のようになります。

  • syslog は、UNIX系システムにおけるログ記録の**標準的な仕組み（プロトコルやAPI）**です。ファシリティとプライオリティという概念でログを分類し、管理します。
  • rsyslog は、そのsyslogの仕組みを実装した**高機能なログ管理デーモン（ソフトウェア）**です。伝統的な syslogd に比べて、信頼性、パフォーマンス、フィルタリング機能、出力先の多様性などが大幅に強化されており、現在の多くのLinuxディストリビューションで標準的に採用されています。
  • つまり、「syslog」というルールに基づいて動作する、非常に優秀な選手が「rsyslog」 だとイメージすると分かりやすいかもしれません。

現代のLinuxシステムにおいて、ログ管理の文脈で「syslog」という言葉が出てきた場合、それは多くの場合、rsyslog（あるいはsyslog-ngやsystemd-journaldと連携する形でのsyslog実装）を指していると考えて差し支えないでしょう。

最後に – ログはシステムの声、耳を傾けよう

今回は、Linuxのログ管理の基本であるsyslogと、その強力な実装であるrsyslogについて詳しく見てきました。最初は取っ付きにくいログの世界も、基本的な仕組みを理解すれば、システムの挙動を把握するための強力な味方になってくれます。

ログは、システムが私たち管理者に送る「声」のようなものです。エラーが発生したとき、何かがうまくいかないとき、ログを丁寧に読み解くことで、問題解決の糸口が見つかることは少なくありません。また、平時からログを監視することで、セキュリティ上の脅威を早期に発見したり、システムのパフォーマンスボトルネックを特定したりすることも可能です。

rsyslogの設定ファイル (/etc/rsyslog.conf や /etc/rsyslog.d/ 内のファイル) を実際に覗いてみたり、logger コマンドを使ってテストメッセージを送信してみたりすると、さらに理解が深まるはずです。

この情報が、あなたのLinux学習の一助となれば幸いです。ログと仲良くなって、快適なLinuxライフを送りましょう！