##本体設定
syslogサーバーにIPアドレスを入れるだけです

##サーバー設定
###環境
raspberry pi2 on centos7

# cat /etc/redhat-release
CentOS Linux release 7.3.1611 (Core)

###設定手順
コメントアウトを外して、syslogサーバーを有効にする。
user.* /var/log/任意の名前.logを追記する。

/etc/rsyslog.conf

# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

---
user.*                                                  /var/log/router.log

###ポートを開ける

firewalldを使用

# firewall-cmd --get-services | grep syslog
syslog が存在することを確認

# firewall-cmd --add-service=syslog --zone=public --permanent
success

# firewall-cmd --reload
success

# iptables -L -n
Chain IN_public_allow (1 references)
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:514 ctstate NEW

rsyslog再起動

# sudo service rsyslog restart

以上

##トラブルシューティング。苦労した点。

WSR-300HP syslogサーバー設定でググっても当該ルータのファシリティ情報がない。
いちおうBuffaloの古い機種で、local1を使っているようなので、そちらを設定したが、書き込まれない。
(だからこれ書いたってのもある）

###ポート待受を確認

# netstat -ano | grep :514
udp        0      0 0.0.0.0:514             0.0.0.0:*                           off (0.00/0/0)
udp6       0      0 :::514                  :::*

###パケット調査
ちゃんとデータ受け取ってるか。

# tcpdump -s0 -i eth0 -X port 514
00:57:43.799229 IP gateway.35228 > gw01.syslog: SYSLOG user.warning, length: 75
        0x0000:  4500 0067 0000 4000 4011 b836 c0a8 00fe  E..g..@.@..6....
        0x0010:  c0a8 0001 899c 0202 0053 8f92 3c31 323e  .........S..<12>
        0x0020:  5b38 383a 3537 3a45 453a 3933 3a38 303a  [88:57:EE:xx:xx:
        0x0030:  4331 5d20 4150 3338 4742 2041 5554 483a  xx].AP.AUTH:
        0x0040:  2041 7574 6865 6e74 6963 6174 6564 2055  .Authenticated.U
        0x0050:  7365 7220 2d20 4530 3a35 463a 3435 3a43  ser.-.E0:5F:45:x
        0x0060:  443a 3841 3a42 33                        x:xx:xx
00:57:43.883136 IP gateway.35228 > gw01.syslog: SYSLOG user.warning, length: 88
        0x0000:  4500 0074 0000 4000 4011 b829 c0a8 00fe  E..t..@.@..)....
        0x0010:  c0a8 0001 899c 0202 0060 f295 3c31 323e  .........`..<12>
        0x0020:  5b38 383a 3537 3a45 453a 3933 3a38 303a  [88:57:EE:xx:xx:
        0x0030:  4331 5d20 4150 3338 4742 2057 4952 454c  xx].AP.WIREL
        0x0040:  4553 533a 2041 2077 6972 656c 6573 7320  ESS:.A.wireless.
        0x0050:  636c 6965 6e74 2063 6f6e 6e65 6374 6564  client.connected
        0x0060:  202d 2045 303a 3546 3a34 353a 4344 3a38  .-.E0:5F:45:xx:x
        0x0070:  413a 4233                                x:xx

###ファシリティの調査

/etc/rsyslog.conf

～
$template out1,"%timegenerated% %syslogpriority-text% %syslogfacility-text% %msg%\n"
*.*    /var/log/all.log;out1
～

/var/log/all.log

Aug 26 09:10:27 warning user xx:xx:xx:xx:xx] WSR-300HP WIRELESS: A wireless client connected - xx:xx:xx:xx:xx:xx
Aug 26 09:10:27 info user xx:xx:xx:xx:xx] WSR-300HP DHCPS: received DISCOVER : xx:xx:xx:xx:xx:xx
Aug 26 09:10:27 info user xx:xx:xx:xx:xx] WSR-300HP DHCPS: sending OFFER of 192.168.0.130
Aug 26 09:10:27 info user xx:xx:xx:xx:xx] WSR-300HP DHCPS: received REQUEST : xx:xx:xx:xx:xx:xx
Aug 26 09:10:27 info user xx:xx:xx:xx:xx] WSR-300HP DHCPS: IP: 192.168.0.130 to MAC address xx:xx:xx:xx:xx:xx

どうやらlocal0～7どれでもなく、userだったと、ここで気づいた。
というか、tcpdumpでもfacilityを確認できるのをこれを書いてる最中に気づいた。
touch /var/log/local0～7やったり、tcpの514有効にしたり、いろいろ試行錯誤して2時間位かかった。
syslogについてだいぶ勉強になりました。