A configuração abaixo foi testada no Opensuse 10.2 que por padrão já utiliza o syslog-ng.
Editar o arquivo /etc/syslog-ng/syslog-ng.conf e acrescentar no final do arquivo o seguinte:
source s_remote {
tcp();
};
destination d_clients {
file("/var/log/servers/$HOST/$FACILITY" owner("root") group("root") perm(0660) dir_perm(0770) create_dirs(yes));
};
log {
source(s_remote);
destination(d_clients);
};
Neste caso, os logs serão divididos por HOST e também pela facility do log, se é autenticação, sistema, etc...