正文：
步骤一：在服务端上配置搜集 auditd 日志的设置
1.1 设置搜集 auditd 日志时使用的端口
（只在服务端上执行以下步骤）
# vi /etc/audit/auditd.conf将部分内容修改如下：
......
tcp_listen_port = 1000
......（补充：这里以设置 TCP 端口号 1000 作为搜集 auditd 日志时使用的端口为例）
1.2 在 SELinux 上给 auditd 搜集日志时使用的端口打上 auditd SELinux 标签
（只在服务端上执行以下步骤）
# semanage port -a -t audit_port_t -p tcp 1000（补充：这里以给 TCP 端口号 1000 打上 auditd 的 SELinux 标签为例）
1.3 让刚刚设置的配置文件生效
（只在服务端上执行以下步骤）
# service auditd restart步骤二：在客户端将 auditd 日志传送到远端的日志搜集服务器
2.1 安装 audispd-plugins 组件 （只在 RHEL 8 和 RHEL 8 之后版本的 RHEL 上操作）
（只在客户端上执行以下步骤）
# dnf install audispd-plugins（注意：只在 RHEL 8 和 RHEL 8 之后版本的 RHEL 上进行此操作）
2.2 将 auditd 日志传送到远端的日志搜集服务器
2.2.1 设置 auditd 日志要发送到的目标 IP 地址和目标端口
（只在客户端上执行以下步骤）
如果是 RHEL 7 和 RHEL 7 之前的版本 RHEL：
# vim /etc/audisp/plugins.d/syslog.conf将部分内容修改如下：
......
remote_server = 192.168.0.1
......
port = 1000
......（补充：这里以将 audit 日志发送到 IP 地址是 192.168.0.1 端口是 1000 的远端日志搜集服务器的为例）
如果是 RHEL 8 和 RHEL 8 之后版本的 RHEL：
# vim /etc/audit/plugins.d/syslog.conf将部分内容修改如下：
......
remote_server = 192.168.0.1
......
port = 1000
......（补充：这里以将 audit 日志发送到 IP 地址是 192.168.0.1 端口是 1000 的远端日志搜集服务器的为例）
2.2.2 设置 auditd 日志发送到远端日志搜集服务器的其它信息
（只在客户端上执行以下步骤）
如果是 RHEL 7 和 RHEL 7 之前的版本 RHEL：
# vim /etc/audisp/plugins.d/syslog.conf将部分内容修改如下：
......
active = yes
direction = out
path = /sbin/audisp-remote
type = always
#args =
format = string
......如果是 RHEL 8 和 RHEL 8 之后版本的 RHEL：
# vim /etc/audit/plugins.d/syslog.conf将部分内容修改如下：
......
active = yes
direction = out
path = /sbin/audisp-remote
type = always
#args =
format = string
......2.3 让刚刚修改的 auditd 配置文件生效
（只在客户端上执行以下步骤）
# service auditd restart步骤三：检测 auditd 日志是否传送到了远端的日志搜集服务器
3.1 在本地生成 auditd 日志用于检测
（只在客户端上执行以下步骤）
# auditctl -m "This is a test auditd message from client"（补充：这里以在 auditd 日志里写入 1 条内容是 “This is a test auditd message from client” 的日志为例）
3.2 在远端的日志搜集服务器检测是否收到 auditd 日志
（只在服务端上执行以下步骤）
（步骤略）
参考文献：
https://access.redhat.com/solutions/28676