Логи в одном месте

Сборщик получит строки машины, только если её rsyslog сам их отправит, — для этого нужно правило с пересылкой.

Действием правила может быть адрес другой машины: тогда rsyslog отправляет копию строки по сети, это пересылка (в Вики). Стандартный порт syslog — 514, а протокол задаёт знак перед адресом:

*.* @@10.0.0.5:514      # все строки — по TCP
*.* @10.0.0.5:514       # все строки — по UDP

То же действие в новой записи — action(type="omfwd" target="10.0.0.5" port="514" protocol="tcp"). Своё правило кладут отдельным файлом в /etc/rsyslog.d с окончанием .conf: файлы пакета обновятся, а твой останется. Правила rsyslog читает при запуске, поэтому после правки — две команды: sudo rsyslogd -N1 проверяет синтаксис всех файлов (в Вики), не трогая работающую службу, а sudo systemctl restart rsyslog применяет правила.

Пересылаются только новые строки: то, что rsyslog записал до правила, останется в файлах машины. Доставку проверяют пробной строкой logger — на сборщике она ляжет в каталог с именем машины.