安装、配置rsyslog日志服务器

ly4983

已于 2024-10-17 10:25:51 修改

阅读量3.3k

点赞数 3

文章标签： eureka 云原生

于 2024-06-28 15:42:01 首次发布

本文链接：https://blog.csdn.net/ly4983/article/details/140045211

版权

一、centos7.9默认已经安装rsyslog

1、程序环境：

配置文件：/etc/rsyslog.conf， /etc/rsyslog.d/

主程序：/usr/sbin/rsyslogd

模块路径：/usr/lib64/rsyslog/

Unit File：/usr/lib/systemd/system/rsyslog.service

2、rsyslog中的术语：

facility：设施、信道；

auth, authpriv, cron, daemon, kern, lpr, mail, mark, news, security, user, uucp, syslog, local0-local7

priority：记录日志的等级，如果等级是info，代表包含了info以及以上的所有等级事件日志都记录

debug, info, notice, warn(warning), err(error), crit(critical), alert, emerg(panic)

3、配置文件：

由三部分组成：严格按照配置段位置添加配置

[12:58 root@centos6.8~]# grep "####" /etc/rsyslog.conf
#### MODULES ####
#### GLOBAL DIRECTIVES ####
#### RULES ####

MODULES：定义了模块的选修，如接下来的使用mysql模块记录日志则需要在这里配置

GLOBAL DIRECTIVES：定义了全局的环境

RULES：定义了记录日志的设施以及等级等信息

RULES的语法说明

facitlity.priority          Target
设备     .级别               动作
 
===============================================================
#设备字段：
=====================================================================
auth         #pam产生的日志，认证日志
authpriv     #ssh,ftp等登录信息的验证信息，认证授权认证
cron         #时间任务相关
kern         #内核
lpr          #打印
mail         #邮件
mark(syslog) #rsyslog服务内部的信息,时间标识
news         #新闻组
user         #用户程序产生的相关信息
uucp         #unix to unix copy, unix主机之间相关的通讯
local 1~7    #自定义的日志设备
===============================================================
#priority: 级别日志级别:
=====================================================================
7 debug           #有调式信息的，日志信息最多
6 info            #一般信息的日志，最常用
5 notice          #最具有重要性的普通条件的信息
4 warning, warn   #警告级别
3 err, error      #错误级别，阻止某个功能或者模块不能正常工作的信息
2 crit            #严重级别，阻止整个系统或者整个软件不能正常工作的信息
1 alert           #需要立刻修改的信息
0 emerg, panic    #内核崩溃等严重信息
none            #什么都不记录
###从上到下，级别从低到高，记录的信息越来越少，如果设置的日志内性为err，则日志不会记录比err级别低的日志，只会记录比err更高级别的日志，也包括err本身的日志。
=====================================================================
Target：
=====================================================================
  #文件, 如/var/log/messages
  #用户， root，*（表示所有用户）
  #日志服务器，@172.16.22.1
  #管道        | COMMAND

举例：
mail.info  /var/log/maillog:  比指定级别更高的日志级别，包括指定级别自身，保存到/var/log/maillog中
mail.=info  /var/log/maillog: 明确指定日志级别为info，保存至/var/log/maillog
mail.!info  /var/log/maillog: 除了指定的日志级别(info)所有日志级别信息，保存至/var/log/maillog
*.info      /var/log/maillog: 所有facility的info级别，保存至/var/log/maillog
mail.*     /var/log/maillog:  mail的所有日志级别信息，都保存至/var/log/maillog
mail.notice;news.info  /var/log/maillog: mail的notice以上记得日志级别和news的info以上的级别保存至/var/log/maillog
mail,news.crit  -/var/log/maillog:  mail和news的crit以上的日志级别保存/var/log/maillog中；“-”代表异步模式

客户端的动作有

@hostname            -将信息发送可解析远程主机hostname或IP，该主机必须正在运行rsyslogd,并可以识别rsyslog的配置文件，使用upd:514端口传送日志信息

@@hostname         -将信息发送可解析远程主机hostname或IP，该主机必须正在运行rsyslogd,并可以识别rsyslog的配置文件，使用tcp:514端口传送日志信息

filename         -指定绝对路径的日志文件名来记录日志信息

:omusrmsg:users    -发送信息到指定的用户，users可以是用逗号分隔符的用户类别，*表示所有用户

device                     -将信息发送到指定设备中，如/dev/console

|named-pipe            -将日志记录到命令管道，用于日志调试非常方便

以下为rsyslog客户与rsyslgo服务器使用到的模块与配置语法

二、配置与测试

2.1.服务器端配置

1、vi /etc/rsyslog.conf

# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

将modules下的这四行的#注释删除。一个udp服务端口、一个是tcp服务端口。可以根据需求只开放UDP或TCP.

2、vi /etc/sysconfig/rsyslog

SYSLOGD_OPTIONS="-r -m 0"

-r指定监听端口默认514 也可以指定其他端口。

测试1：

日志服务器配置：

1.修改/etc/rsyslog.conf
# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

2.修改vi /etc/sysconfig/rsyslog
SYSLOGD_OPTIONS="-r -m 0"

3.重启
systemctl  restart rsyslog

4.netstat -npa | grep 514
查看端口

linux客户端配置：

1.修改/etc/rsyslog.conf
echo 'mail.info     @@10.23.3.2:514'>>/etc/rsyslog.conf 
@@的意思是使用tcp，此时日志服务器端必须开启tcp514


2.重启
systemctl  restart rsyslog

3.测试
 logger -p mail.info "this is a test for rmote log."

服务器端查看结果：

[root@node1 ~]# tail -f /var/log/maillog

Jul 16 09:13:08 localhost root: this is a test for rmote log.
Jul 16 09:13:08 localhost root: this is a test for rmote log.
Jul 16 09:13:24 localhost root: this is a test for rmote log.
Jul 16 09:13:24 localhost root: this is a test for rmote log.

由于日志服务器的让所有s*log.conf的配置文件中默认存在

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog

将mail.设备的所有信息保存到/var/log/maillog下。

测试2：

H3C设备客户端

<H3C>dis cur | incl info
 info-center loghost source GigabitEthernet0/1
#定义源接口地址
 info-center loghost 10.23.3.2 facility local6
定义日志服务器地址，及设备名称，local6 为自定义名称
<H3C>
<H3C>

服务器端查看

tail -f /var/log/message

ound.
Jul 16 10:36:12 2024 H3C %%10SHELL/5/SHELL_LOGINFAIL(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005;  TELNET user root failed to log in from 81.26.240.200 on VTY0.
Jul 16 09:23:47 node1 kernel: net_ratelimit: 1 callbacks suppressed
Jul 16 10:36:16 2024 H3C %%10SC/6/SC_AAA_LAUNCH(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005-AAAType=AUTHEN-AAAScheme= local-Service=login-UserName=enable@system; AAA launched.
Jul 16 10:36:16 2024 H3C %%10LS/5/LS_AUTHEN_FAILURE(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005-AccessType=login-UserName=enable; Authentication is failed. User not found.
Jul 16 10:36:16 2024 H3C %%10SHELL/5/SHELL_LOGINFAIL(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005;  TELNET user enable failed to log in from 81.26.240.200 on VTY0.
Jul 16 10:36:19 2024 H3C %%10SC/6/SC_AAA_LAUNCH(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005-AAAType=AUTHEN-AAAScheme= local-Service=login-UserName=shell@system; AAA launched.
Jul 16 10:36:19 2024 H3C %%10LS/5/LS_AUTHEN_FAILURE(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005-AccessType=login-UserName=shell; Authentication is failed. User not found.
Jul 16 10:36:19 2024 H3C %%10DPBLS/5/BLS_ENTRY_OPERATION(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005-VirDev(1000)=Root; blsOptMode(1026)=add;srcIPAddr(1017)=81.26.240.200;blsOptReason(1027)= Auto insert;blsHoldTime(1028)=10
Jul 16 10:36:19 2024 H3C %%10SHELL/5/SHELL_LOGINFAIL(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005;  TELNET user shell failed to log in from 81.26.240.200 on VTY0.

可以成功看到H3C设备发过来的日志。

测试三改变日志服务器的rules规则，使H3C设备的日志，存放到其他非/var/log/message文件中。

修改日志服务器端配置文件
/etc/rsyslog.conf


# Save net-dev messages  to net.log
local6.*                                                /var/log/net.log

由于H3C设备的配置 info-center loghost 10.23.3.2 facility local6 使用local6，则在日志服务器端定义规则，local6的所有日志传输到/var/log/net.log下

验证：

[root@node1 ~]# tail -f /var/log/net.log 
Jul 16 10:41:04 2024 H3C %%10SHELL/4/LOGINAUTHFAIL(t): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005;   Trap 1.3.6.1.4.1.25506.2.2.1.1.3.0.3<hh3cLogInAuthenFailure>: failed to login from VTY, reason is 3
Jul 16 10:41:04 2024 H3C %%10SHELL/4/LOGOUT(t): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005;   Trap 1.3.6.1.4.1.25506.2.2.1.1.3.0.2<hh3cLogOut>: logout from VTY
Jul 16 10:41:04 2024 H3C %%10SC/6/SC_AAA_LAUNCH(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005-AAAType=AUTHEN-AAAScheme= local-Service=login-UserName=root@system; AAA launched.
Jul 16 10:41:04 2024 H3C %%10LS/5/LS_AUTHEN_FAILURE(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005-AccessType=login-UserName=root; Authentication is failed. User not found.
Jul 16 10:41:04 2024 H3C %%10SHELL/5/SHELL_LOGINFAIL(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005;  TELNET user root failed to log in from 220.94.82.231 on VTY1.
Jul 16 10:41:06 2024 H3C %%10SHELL/4/LOGINAUTHFAIL(t): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005;   Trap 1.3.6.1.4.1.25506.2.2.1.1.3.0.3<hh3cLogInAuthenFailure>: failed to login from VTY, reason is 3
Jul 16 10:41:06 2024 H3C %%10SHELL/4/LOGOUT(t): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005;   Trap 1.3.6.1.4.1.25506.2.2.1.1.3.0.2<hh3cLogOut>: logout from VTY
Jul 16 10:41:10 2024 H3C %%10FILTER/6/ZONE_DP_FLT_EXECUTION_TCP_LOG(l): -DevIP=10.10.10.249-DEV_TYPE=SECPATH-PN=210235A0W0H158000005-VirDev(1000)=Root; srcZoneName(1034)=SC;destZoneName(1035)=Trust;rule_ID(1070)=0;policyActType(1071)=permitted;protType(1001)=TCP(6);srcIPAddr(1017)=10.23.3.2;destIPAddr(1019)=10.10.10.33;srcPortNum(1018)=47344;destPortNum(1020)=10051;beginTime_e(1013)=07162024104037;endTime_e(1014)=07162024104109;

我们看到了H3C设备发过来的日志。

交换机的配置：

info-center loghost source Vlan-interface1
info-center loghost 10.23.0.235 facility local6
info-center eanble

dockerSyslog-ng是一个可靠、多功能的日志管理系统，用于收集日志并将其转发到指定的日志分析工具。

使用Docker CLI方式搭建
步骤 1: 拉取Syslog-ng镜像
首先，需要从Docker Hub拉取Syslog-ng的官方镜像。

docker pull balabit/syslog-ng:latest
步骤 2: 启动Syslog-ng容器
使用下列命令启动Syslog-ng容器，以下示例展示了一些常用的参数和配置。

docker run -d --name syslog-ng \
  -p 514:514/udp \
  -p 601:601 \
  -v /path/to/your/syslog-ng.conf:/etc/syslog-ng/syslog-ng.conf \
  balabit/syslog-ng:latest

-d: 后台运行容器。
--name: 指定容器的名称，这里为syslog-ng。
-p 514:514/udp: 将容器的514端口（UDP协议）映射到宿主机的514端口，用于接收Syslog消息。
-p 601:601: 将容器的601端口（TCP协议）映射到宿主机的601端口，也是用于接收Syslog消息，但是通过TCP。
-v /path/to/your/syslog-ng.conf:/etc/syslog-ng/syslog-ng.conf: 将宿主机上的Syslog-ng配置文件映射到容器内部，用于自定义Syslog-ng的行为。
步骤 3: 验证运行状态
使用以下命令检查容器运行状态：

docker ps
确保Syslog-ng容器正在运行。

使用Docker Compose方式搭建
Docker Compose提供了一种更为简便的方式来定义和运行多容器Docker应用程序。

步骤 1: 创建Docker Compose文件
在一个目录中创建一个名为docker-compose.yml的文件，并添加以下内容：

version: '3'
services:
  syslog-ng:
    image: balabit/syslog-ng:latest
    container_name: syslog-ng
    ports:
      - "514:514/udp"
      - "601:601"
    volumes:
      - /path/to/your/syslog-ng.conf:/etc/syslog-ng/syslog-ng.conf

version: 指定Docker Compose文件格式版本。
services: 定义了要运行的服务容器。
syslog-ng: 定义一个服务，名称为syslog-ng。
image: 指定使用的Docker镜像。
container_name: 容器的名称。
ports: 端口映射配置。
volumes: 卷映射配置，用于Syslog-ng的配置文件。
步骤 2: 启动Syslog-ng服务
在包含docker-compose.yml文件的目录中，运行以下命令来启动Syslog-ng服务：

docker-compose up -d
步骤 3: 验证服务状态
使用以下命令查看服务状态：

docker-compose ps
确保syslog-ng服务已经成功启动并且运行中。