http://blog.yqyqq.com/archives/489
http://bbs.doit.com.cn/thread-27719-1-1.html
文章目录
最近由于项目上的需要,得将aix的audit日志发送到指定的syslog server上。写下该文档,已做记录
一.配置audit的config文件
编辑 /etc/security/audit/config文件
1
2
3
|
start:
binmode = off
streammode = on
|
将audit日志改为stream模式
二. 重启audit
#audit shutdown
#audit start
三.执行下列命令
#/usr/sbin/auditstream | auditpr -v | /usr/bin/logger -p local0.debug &
auditstream命令在流格式的审计记录生成时输出,通过管道交由auditpr,auditp读取auditstream传送多来的流格式的审计记录,并将格式化后的记录通过管道发送给logger,logger命令提供了与syslog子例程之间的接口,这个子例程向系统日志中写入。
四.修改syslog.conf文件
在文件的末行添加如下一行
1
|
*.debug@192.168.1.100
|
上面的是键盘上的tab键,192.168.1.100改成你接收syslog的设备IP
五.刷新syslog配置
#refresh -s syslogd
NOTE
如设备没有收到 aix所发出的审计记录,那么请按下列步骤进行排查
1.先到syslog server上进心抓包,抓包命令为 tcpdump -i eth0 port 514 and src SIP
eth0为syslog server的网卡名字,用ifconfig命令进行查看, SIP为aix服务器的IP
如没有数据抓到
2.修改上诉第四步中的 @192.168.1.100 为 /tmp/syslog.out
3.创建syslog.out文件 #touch /tmp/syslog.out
4.刷新syslog配置 #refresh -s syslogd
5.查看syslog.out文件是否有内容 #tail -f /tmp/syslog.out
ERROR
0513-036 The request could not be passed to the syslogd subsystem. Start the subsystem and try your command again.
当你执行 refresh -s syslogd 的时候,遇到上诉报错,那么请重启syslog服务
#stopsrc -s syslogd
#startsrc -s syslogd
- 相关文章