因为在网络上使用 UDP 协议交换数据并不可靠，你可以设置 Rsyslog 使用 TCP 协议去向远程服务器输出日志信息。为了启用 TCP 协议去接受日志信息，打开 /etc/rsyslog.conf 文件并删除如下行前面的井号（#）以取消注释。这将允许 rsyslog 守护程序去绑定并监听 TCP 协议的 514 端口。
$ModLoad imtcp
$InputTCPServerRun 514
在 rsyslog 上可以同时启用两种协议。
如果你想去指定哪个发送者被允许访问 rsyslog 守护程序，可以在启用协议行的后面添加如下的行：
$AllowedSender TCP,127.0.0.1,10.110.50.0/24,*.yourdomain.com
在接收入站日志信息之前，你需要去创建一个 rsyslog 守护程序解析日志的新模板，这个模板将指示本地 Rsyslog 服务器在哪里保存入站的日志信息。在 $AllowedSender 行后以如下示例去创建一个合适的模板。
$template Incoming-logs,"/var/log/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?Incoming-logs
&~
为了仅接收内核生成的日志信息，可以使用如下的语法。
kern.* ?Incoming-logs
接收到的日志由上面的模板来解析，它将保存在本地文件系统的 /var/log/ 目录的文件中，之后的是以客户端主机名客户端设备名命名的日志文件名字：%HOSTNAME% 和 %PROGRAMNAME% 变量。
下面的 & ~ 重定向规则，配置 Rsyslog 守护程序去保存入站日志信息到由上面的变量名字指定的文件中。否则，接收到的日志信息将被进一步处理，并将保存在本地的日志文件中，比如，/var/log/syslog 文件中。
为添加一个规则去丢弃所有与邮件相关的日志信息，你可以使用下列的语法。
mail.*~
可以在输出文件名中使用的其它变量还有：%syslogseverity%、%syslogfacility%、%timegenerated%、%HOSTNAME%、%syslogtag%、%msg%、%FROMHOST-IP%、%PRI%、%MSGID%、%APP-NAME%、%TIMESTAMP%、%$year%、%$month%、%$day%。
从 Rsyslog 版本 7 开始，将使用一个新的配置格式，在一个 Rsyslog 服务器中声明一个模板。
一个版本 7 的模板应该看起来是如下行的样子。
template(name="MyTemplate" type="string"
string="/var/log/%FROMHOST-IP%/%PROGRAMNAME:::secpath-replace%.log"
)
另一种模式是，你也可以使用如下面所示的样子去写上面的模板：
template(name="MyTemplate" type="list"){
constant(value="/var/log/")
property(name="fromhost-ip")
constant(value="/")
property(name="programname"SecurePath="replace")
constant(value=".log")
}
为了让 Rsyslog 配置文件的变化生效，你必须重启守护程序来加载新的配置。
sudo service rsyslog restart
sudosystemctl restart rsyslog
在 Debian Linux 系统上去检查它监听哪个套接字，你可以用 root 权限去运行 netstat 命令。将输出传递给一个过滤程序，比如 grep。
sudonetstat-tulpn |grep rsyslog
请注意： 为了允许建立入站连接，你必须在防火墙上打开 Rsyslog 的端口。
在使用 Firewalld 的基于 RHEL 的发行版上，运行如下的命令：