/etc/syslog.conf file:

# Added for Cisco Syslog Analyzer (begin)
local7.info  /var/log/syslog_info
# Added for Cisco Syslog Analyzer (end)
#BEGIN CSCOmd - DO NOT EDIT THESE COMMENTS OR CONTENTS CONTAINED WITHIN
- local0 1
#
local0.emeerg;local0.alert;local0.crit;local0.err;local0.warning;local0.notice;local0.info;local0.debug
/var/adm/CSCOpx/log/dmgtd.log
#
#END CSCOmd DO NOT EDIT BEFORE THIS LINE  1

:21:

信息没有写进去，天啊，我欲哭无泪啊

至於實際上什麼樣的事件該歸屬於哪一個facility的哪一個priority，則會隨UNIX種類的不同，而有小幅度的差異。例如tcpd的訊息在Sun Solaris系統中，屬於mail.info，在Slackware Linux中屬於auth.info，RedHat Linux則是屬auth_priv.info。這些差異有時候需要管理者花一些時間去找出來。

facility

solaris

user,kern,mail,daemon,auth,lpr,news,uucp,cron,local0-7,mark,*

linux

user,kern,mail,daemon,auth,lpr,news,uucp,cron,local0-7,mark,*,
authpriv,security (same as auth),syslog

level

solaris

emerg,alert,crit,err,warning,notice,info,debug,none

linux

emerg,alert,crit,err,warning,notice,info,debug,none,*
warn (same as warning),error (same as err), panic (same as emerg)

看到没有，在solaris中的level中，对通配符"*"是不认的（虽然在facility中认的），我就是载在这个上面了。TMD，看来solaris的交互性远没有linux的友好。

也就是说，在linux中，你这么写syslog.conf
local0.*             /var/log/cisco
是没有问题的，但在solaris中是不行的，系统会把这行认为是错误的，忽略掉，必须老老实实的按步就班的写
local0.debug         /var/adm/cisco
才可以啦

哈哈，看到了，说穿了一钱不值，让我花了三天时间折腾，幸亏没有去重装系统.

不过另外还有问题，我在linux 上写
auth.*;authpriv.*      /var/log/authlog
可以记录任何对系统的登陆信息，用户端telnet 出来要用户名的时候，我的日志就有了，并且是输入了几次错误的口令都有记录，但在solaris中就不同，
syslog.conf内容
auth.emerg;auth.alert;auth.crit;auth.err;auth.warning;auth.notice;auth.info;auth.debug          /var/adm/auth.l
og
当用户telnet用户错误时的信息是
Nov 21 12:58:41 erp login: [ID 427203 auth.debug] pam_authenticate: error Authentication failed
居然没有对方的IP地址信息
当su为root时的信息
Nov 21 13:00:32 erp su: [ID 810491 auth.crit] 'su root' failed for shell on /dev/pts/7
也没有对方的IP地址信息
不会这么若吧，是不是我的配置不对，还是solaris就是这样？

加一点：由缺省，SOLARIS 确实没有IP 地址的追踪功能。
须配/etc/init.d/inetsvc ( 系统网络功能的启动脚本)。

把这行加一个 " -t " 选项：

/usr/sbin/inetd -s &

变为

/usr/sbin/inetd -s -t &

然后run,

pkill -HUP inetd

Caution – Only use tabs as white space in the /etc/syslog.conf file.

Selector Field
The selector field is a semicolon-separated list of priority specifications
of the form:
facility.level; facility.level.

Facility is a system facility that is defined by the items shown in
Table 3-1.
<font color="red" face="arial"><b>
Note – You can use the * to select all facilities (for example *.err);
however, you cannot use it to select all levels for a facility (for
example, kern.*)</b></font>
----------------------------------------
SA228 3-6

cat /var/log/authlogDec 12 12:16:06 yt168sun220 sshd2[578]: [ID 702911 auth.notice] Password authentication for user root accepted.
Dec 12 12:16:06 yt168sun220 sshd2[578]: [ID 702911 auth.notice] User root, coming from 192.168.0.19, authenticated

系統為solaris 8 sparc，記錄了IP了呀