<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Fri, Apr 4, 2014 at 3:08 PM, Davor Saric <span dir="ltr"><<a href="mailto:davor.saric@srce.hr" target="_blank">davor.saric@srce.hr</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="">On 04.04.2014 14:43, Rainer Gerhards wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
I am CC'ing the rsyslog mailing list as the issue is more related the<br>
rsyslog and syslog in general. I suggest to subscribe in order to<br>
receive follow-ups.<br>
</blockquote>
<br></div>
Subscribed :)<div class=""><br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
I think the problem you see is based on the fact that RFC3164 - which is<br>
used to parse these types of messages - specifies that everything after<br>
the TAG is the message. Usually, messages have "TAG: mm", note the space<br>
before mm. This is where it stems from.<br>
</blockquote>
<br></div>
"sensitive information replaced"<br>
<br>
Ok, on client with rsyslog v5 imfile writes to local5 and here is the line in local5.log:<br>
<br>
Mar 25 13:28:10 hostname apache-access: 123.456.789.000 - - [25/Mar/2014:12:40:29 +0100]...<br>
<br>
On server with rsyslog v7, his own apache logs with imfile are writen to local5 and the line is:<br>
Apr  4 14:48:51 central apache-access: 111.222.333.444 - - [04/Apr/2014:14:48:50 +0200]...<br>
<br>
You can see that space is present in both log. But when writing rules and templates, somehow the central rsyslog registers a space in msg property from this incoming logs but does not take space from msg property when reading local logs witch are fetched with imfile...<br>

<br></blockquote><div><br></div><div>That's because the omfile default template inserts the space if it is not there.<br> <br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

Btw clients are CentOS 6 and Debian 7 with rsyslog v5 and central rsyslog is Centos 6 with rsyslog v7 stable...<div class=""><br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
In regard to lognorm rules, you can simply duplicate the entries with<br>
and without a space in front. It's a bit ugly, but a work-around you can<br>
use right now.<br>
</blockquote>
<br></div>
If this is normal and is not a bug I allready have two rules and templates, one for incoming logs and one for central server local apache logs so I have a workaround :)<br></blockquote></div><br></div><div class="gmail_extra">
No, its not a bug, but it's still ugly. I always wanted to add an option to specify a template to be used for mmnormalize (where you could fix these things), but it does not play well with the message modification module interface, and so this change actually would be a couple of magnitudes larger than you'd usually expect. Given the mile-long todo list, this hasn't happened yet and probably will not in the forseable future :-(<br>
<br>Rainer<br></div></div>