rsyslog - Thông lượng thấp hơn khi sử dụng omfwd với TCP so với UDP

TLDR;

Tôi nhận được thông lượng thấp hơn đáng kể khi chuyển tiếp tin nhắn nhật ký hệ thống với rsyslog trên máy chủ Redhat có 32 lõi và RAM 128Gi đến máy chủ từ xa sử dụng TCP thay vì nhật ký hệ thống UDP trong omfwd hoạt động.

Làm cách nào tôi có thể sử dụng TCP để chuyển tiếp thư trong khi vẫn theo kịp khối lượng thư gửi đến?

Lưu ý1: pps = gói mỗi giây

Lưu ý2: Lưu ý sự khác biệt về số liệu thống kê Rx so với Tx

Khi sử dụng UDP để chuyển tiếp thư đến:

[~]$ ./check_network_stats.bash eth0
Rx 10088 trang Tx 10092 trang |--| Rx 7 Mb/giây Tx 7 Mb/giây
Rx 11858 trang Tx 11857 ​​trang |--| Rx 8 Mb/giây Tx 8 Mb/giây
Rx 11503 trang Tx 11502 trang |--| Rx 8 Mb/giây Tx 8 Mb/giây
Rx 11423 trang Tx 11321 trang |--| Rx 8 Mb/giây Tx 8 Mb/giây

Khi sử dụng TCP để chuyển tiếp thư đến:

[~]$ nguồn check_network_stats.bash eth0
Rx 10318 trang Tx 87 trang |--| Rx 7 Mb/giây Truyền 0 Mb/giây
Rx 12150 trang/giây Tx 162 trang |--| Rx 8 Mb/giây Truyền 0 Mb/giây
Rx 9504 trang/điểm Tx 139 trang |--| Rx 7 Mb/giây Truyền 0 Mb/giây
Rx 9774 trang/giây Tx 67 trang |--| Rx 6 Mb/giây Truyền 0 Mb/giây
Rx 12894 trang mỗi giây Tx 159 trang |--| Rx 9 Mb/giây Truyền 0 Mb/giây

rsyslog.conf:

# tập tin cấu hình rsyslog


#################
#### MÔ-ĐUN ####
#################
         
mô-đun (tải = "imjournal" StateFile = "imjournal.state")
module(load="imklog") # đọc các thông báo kernel (các thông báo tương tự được đọc từ journald)
module(load="immark" interval="300") # cung cấp --MARK-- khả năng nhắn tin
module(load="imudp" thread="4" batchSize ="128") # Cung cấp tiếp nhận nhật ký hệ thống UDP
module(load="imptcp" thread="10") # Cung cấp tiếp nhận nhật ký hệ thống TCP
module(load="buildin:omfile" Template="RSYSLOG_TraditionalFileFormat") # Sử dụng định dạng dấu thời gian mặc định

##############
#### QUY TẮC ####
##############

bộ quy tắc (tên = "sendToLogstash") {
    hành động (loại = "omfwd"
       tên = "hành động_ls"
       Mục tiêu="10.10.10.10"
       Cổng = "514"
       Giao thức = "udp" # khi điều này thay đổi thành TCP, thông lượng giảm xuống
       queue.type="FixedArray"
       )
}

##########################
#### NGƯỜI NGHE ####
##########################
đầu vào (loại = "imudp" cổng = "514" quy tắc = "sendToLogstash")
đầu vào (loại = "imptcp" cổng = "514" quy tắc = "sendToLogstash")

##########################
#### CHỈ THỊ TOÀN CẦU ####
##########################

đánh dấu.* /var/log/messages

# Nơi đặt các tập tin phụ trợ
toàn cầu(workDirectory="/var/lib/rsyslog")