никак не разберусь с фильтрами в syslog-ng

чего-нить вроде -
not ( program("acpid") or program("pptp") or program("xinetd"))

сделал фильтр filter f_hidden { not program("acpid") or program("pptp") or program("xinetd"); };

log { source(src); filter(f_messages); filter(f_hidden); destination(messages); };

всё равно в messages попадают :(

а если вот так log { source(src); filter(f_hidden); destination(messages); };

так попадёт больше всего ненужного, должны работать оба фильтра, но даже с одним таким в лог почему-то указанные проги попадают. временно добавил фильтр по строкам, но хочется более грамотное решение :) интересно почему таки они доходят до messages с flags(final)

destination dhcpd { file("/var/log/dhcpd.log"); };
filter dhcpd { match("^dhcpd"); };
log { source(src); filter(dhcpd); destination(dhcpd); };

filter nodhcpd { not match("^dhcpd"); };

log { source(src); filter(nodhcpd); destination(messages); };

> всё равно в messages попадают :(
Естественно...
Вам советовали:
not ( program("acpid") or program("pptp") or program("xinetd") )
а вы сделали
not program("acpid") or program("pptp") or program("xinetd");
Найдите отличия.

Неужели так сложно правильно расставить and и or ?
filter f_messages {
level(info..warn)
and
not facility(auth, authpriv, cron, user, mail, news, syslog)
and
not ( program("acpid") or program("pptp") or program("xinetd") );
};

P.S. Возможно program() в некоторых местах нужно заменить на match().

спасибо за помощь, всё сработало как и хотелось :)