Log pesan yang berisi string spesifik ke file lain di rsyslogd

Saya ingin menyimpan pesan log saya yang dihasilkan oleh iptables ke file lain melalui rsyslogd.

Saat ini saya menggunakan kode ini dari /etc/rsyslog.d/20-custom.conf:

# Log cron to cron.log and not to syslog
*.*;cron,auth,authpriv.none         -/var/log/syslog
cron.*                               /var/log/cron.log

# Log firewall to extra log
:msg,contains,"[BLOCK " /var/log/firewall.log

& stop

Log cron saya baik-baik saja, mereka hanya bisa login cron.log, tapi log iptables saya bisa masuk keduanya syslog dan firewall.log. Apakah ada cara untuk hanya login firewall.log?

Spesifikasi sistem saya:

> rsyslogd -v
rsyslogd 8.16.0, compiled with:
        PLATFORM:                               x86_64-pc-linux-gnu
        PLATFORM (lsb_release -d):
        FEATURE_REGEXP:                         Yes
        GSSAPI Kerberos 5 support:              Yes
        FEATURE_DEBUG (debug build, slow code): No
        32bit Atomic operations supported:      Yes
        64bit Atomic operations supported:      Yes
        memory allocator:                       system default
        Runtime Instrumentation (slow code):    No
        uuid support:                           Yes
        Number of Bits in RainerScript integers: 64

Linux MYHOSTNAME 4.4.0-116-generic #140-Ubuntu SMP Mon Feb 12 21:23:04 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux

> lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 16.04.4 LTS
Release:        16.04
Codename:       xenial

Anda harus memindahkan bagian logging firewall sebelum aturan lain, sehingga terlihat seperti

# Log firewall to extra log
:msg,contains,"[BLOCK " /var/log/firewall.log
& stop

# Log cron to cron.log and not to syslog
*.*;cron,auth,authpriv.none         -/var/log/syslog
cron.*                               /var/log/cron.log

Aturan dipertimbangkan secara berurutan, sehingga Anda sekarang memiliki pesan yang cocok *. *; cron, auth, authpriv.none akan selalu ditulis ke syslog, bahkan jika itu juga cocok : msg, berisi, "[BLOCK" dan ditulis ke firewall.log. Perintah berhenti sudah terlambat di file untuk menghentikan apa pun.

Lihat juga https://www.rsyslog.com/writing-specific-messages-to-a-file-and-discarding-them/