Install Configure LogAnalyzer with Rsyslog On CentOS 7

Shanxun Liao

已于 2023-08-03 11:20:37 修改

阅读量325

点赞数 1

文章标签： centos linux 运维

于 2023-07-05 17:50:38 首次发布

本文链接：https://blog.csdn.net/shanxun1012/article/details/131550033

版权

View system messages via web

Syslog messages
Windows Events
Status Reports
Statistics
Web based

http://loganalyzer-demo.adiscon.com/

实验室设置：

使用 Centos 7 和 Ubuntu 21.04 LTS，Centos 7 充当带有 LogAnalyzer 的 rsyslog 服务器，Ubuntu 充当 rsyslog 客户端。

Rsyslog服务器：
操作系统：CentOS 7
IP地址：192.168.108.128

Rsyslog 客户端服务器：
操作系统：centOS7
IP地址：192.168.108.148

Rsyslog 客户端服务器：
操作系统：ubuntu 22.04 LTS
IP地址：192.168.108.153

1./安装先决条件

– 为了使 LogAnalyzer 正常运行，我们的系统上需要安装许多必备软件包。
– 安装 Httpd 和 php 软件包：
– 以 root 用户身份登录

- 防火墙中的开放访问
[root@localhost ~]# iptables -A INPUT -m state --state NEW -m udp -p udp --dport 514 -j ACCEPT
– 安装 Httpd 和 php 软件包：以 root 用户身份登录
[root@localhost ~]# vi /etc/hostname    // LogAnalyzer // 修改计算机名称
[root@localhost ~]# sudo -i
[root@LogAnalyzer ~]# yum install httpd php php-mysql wget

– 启动时启用并启动 Httpd
[root@LogAnalyzer ~]# systemctl enable httpd && systemctl start httpd

– 查看 rsyslogd 版本
[root@LogAnalyzer ~]# rsyslogd -v  
– 安装 mariadb 服务器和 rsyslog-mysql 软件包：
[root@LogAnalyzer ~]# yum install mariadb-server -y rsyslog-mysql rsyslog

– 查看 rsyslog 服务状态
[root@LogAnalyzer ~]# service rsyslog start
[root@LogAnalyzer ~]# service rsyslog on
[root@LogAnalyzer ~]# systemctl status rsyslog.service

- 在启动时启用并启动 mariadb 服务器：
[root@LogAnalyzer ~]# systemctl enable mariadb && systemctl start mariadb
- 查看 mariadb 状态
[root@LogAnalyzer ~]# systemctl status mariadb.service

2./配置RSYSLOG数据库

– 使用以下命令导入 RSYSLOG 提供的默认数据库方案：

[root@LogAnalyzer ~]# mysql -u root -p < /usr/share/doc/ 不要回车 按tab 键不全后面的参数rsyslog-8.24.0/mysql-createDB.sql 
Display all 311 possibilities? (y or n) 选择 n
[root@LogAnalyzer ~]# mysql -u root -p < /usr/share/doc/rsyslog-8.24.0/mysql-createDB.sql
- 创建一个用户来访问Syslog数据库：
[root@LogAnalyzer ~]# mysql -uroot -p
MariaDB [(none)]> GRANT ALL ON Syslog.* TO 'rsyslog'@'localhost' IDENTIFIED BY 'Password';
Query OK, 0 rows affected (0.00 sec)

MariaDB [(none)]> FLUSH PRIVILEGES;
Query OK, 0 rows affected (0.00 sec)

MariaDB [(none)]> show databases;    //Syslog databases 能够看到说明创建ok

MariaDB [(none)]> exit

[root@LogAnalyzer ~]# cp /etc/rsyslog.conf /etc/rsyslog.conf.org
[root@LogAnalyzer ~]# vi /etc/rsyslog.conf
- 找到并取消注释以下行，以使您的服务器侦听 udp 和 tcp 端口。

$ModLoad imudp

$UDPServerRun 514

$ModLoad imtcp

$InputTCPServerRun 514

- 添加以下行以创建新的转发规则并加载 mysql 模块：

# Load the MySQL Module
$ModLoad ommysql

*.* :ommysql:127.0.0.1,Syslog,rsyslog,Password

- 保存并重启 rsyslog 服务
[root@LogAnalyzer ~]# systemctl restart rsyslog
- 查看 rsyslog   服务状态
[root@LogAnalyzer ~]# systemctl status rsyslog

3./安装日志分析器 LogAnalyzer

[root@LogAnalyzer ~]#  cd /tmp/
[root@LogAnalyzer tmp]# wget http://download.adiscon.com/loganalyzer/loganalyzer-4.1.10.tar.gz 
---如果出现错误: 无法验证 download.adiscon.com 的由 “/C=US/O=Let's Encrypt/CN=R3” 颁发的证书:
  颁发的证书已经过期。那么可以  使用 --no-check-certificate 参数下载
[root@LogAnalyzer tmp]# wget --no-check-certificate http://download.adiscon.com/loganalyzer/loganalyzer-4.1.10.tar.gz
- 解压 loganalyzer-4.1.10.tar.gz
[root@LogAnalyzer tmp]# tar -xzvf /tmp/loganalyzer-4.1.10.tar.gz

- 在apache web目录下创建LogAnalyzer目录：
[root@LogAnalyzer tmp]# mkdir /var/www/html/loganalyzer

- 使用以下命令将安装文件复制到 loganalyzer 目录中：
[root@LogAnalyzer tmp]# cp -r /tmp/loganalyzer-4.1.10/src/* /var/www/html/loganalyzer
[root@LogAnalyzer tmp]# cp /tmp/loganalyzer-4.1.10/contrib/configure.sh /var/www/html/loganalyzer

- 在 loganalyzer 目录中创建一个名为 config.php 的空白配置文件，并使用以下命令为 apache 用户设置写入权限：

[root@LogAnalyzer tmp]# cd /var/www/html/loganalyzer
[root@LogAnalyzer loganalyzer]# bash configure.sh
[root@LogAnalyzer loganalyzer]# chcon -h -t httpd_sys_script_rw_t config.php
[root@LogAnalyzer loganalyzer]# touch config.php
[root@LogAnalyzer loganalyzer]# chmod 777 config.php

- 如果安装了firewalld，请通过执行以下命令允许流量到达您的服务器：
[root@LogAnalyzer loganalyzer]# firewall-cmd --add-port=514/{tcp,udp} --permanent
[root@LogAnalyzer loganalyzer]# firewall-cmd --add-service=http --permanent
[root@LogAnalyzer loganalyzer]# firewall-cmd --reload

4./启动LogAnalyzer Web安装程序

完成上述步骤后，在 Web 浏览器中打开以下 URL 以启动 LogAnalyzer Web 安装程序。

http://192.168.108.128/loganalyzer/

- 修改网页配置---这里保持默认不修改
[root@LogAnalyzer ~]# vi /etc/httpd/conf/httpd.conf

*.* :ommysql:127.0.0.1,Syslog,rsyslog,Password

GRANT ALL ON Syslog.* TO 'rsyslog'@'localhost' IDENTIFIED BY 'Password';

5./LogAnalyzer日志分析系统中文语言包:

LogAnalyzer默认为英文官方推荐使用英文不懂英文的就安装中文语言包。无法上传网上自行找
解压后将zh目录方至/var/www/html/loganalyzer/lang目录下再次访问页面在右上角选择中文即可。

6./L问题处理：Problem :
“Could not find the configured table, maybe misspelled or the table names are case sensitive”
“找不到配置的表，可能拼写错误或表名称区分大小写”

[root@localhost loganalyzer]# cp config.php config..dist.php
[root@localhost loganalyzer]# cd /var/www/html/loganalyzer/
[root@localhost loganalyzer]# vi config.php 
$CFG['Sources']['Source1']['DBTableName'] = ‘systemevents’; 默认是小写
$CFG['Sources']['Source1']['DBTableName'] = ‘Systemevents’; 修改为大写的 Systemevents

更新 database :
[root@localhost loganalyzer]# mysql -uroot -p
MariaDB [(none)]> use Syslog
MariaDB [Syslog]> update logcon_sources set DBTableName = 'SystemEvents'where ID=1;
Query OK, 1 row affected (0.00 sec)
Rows matched: 1  Changed: 1  Warnings: 0

问题处理：No syslog records foundWhile reading the logstream, the php script timeout forced me to abort at this point.If you want to avoid this, please increase the LogAnalyzer script timeout in your config.php. If the user system is installed, you can do that in Admin center.

-------------------------找到管理中心---PHP 脚本超时（秒）改为 60 -120 秒 ---------------------------------

问题处理：JpGraph Error: 25001This PHP installation is not configured with the GD library. Please recompile PHP with GD support to run JpGraph. (Neither function imagetypes() nor imagecreatefromstring() does exist)

- 安装php-gd
[root@localhost ~]# yum -y install php-gd
- 重启 httpd
[root@localhost ~]# service httpd restart

5./ 在客户端节点上配置 Rsyslog

配置 Rsyslog 中央服务器后，让我们配置客户端系统以将日志发送到中央 Rsyslog 服务器。登录到每个客户端节点并在文件末尾添加以下行,

[root@Centostest01 ~]# vim /etc/rsyslog.conf

添加以下行，使用中央 Rsyslog 系统 ip/主机名更改主机名或 ip。

*.* @192.168.108.128:514
或者
*.* @LogAnalyzer.com:514  
     LogAnalyzer.com:  // DNS 域名

并使用以下命令重新启动 rsyslog 服务。
您的集中式日志服务器设置已成功完成
如果新端口已在 /etc/rsyslog.conf 中配置，请立即重新启动 rsyslog 以使更改生效：

[root@Centostest01 ~]# service rsyslog restart

------------------------------------------------------------------------------这里就收集到了 Centostest01 的 log

Ubuntu 22.04.2 LTS Rsyslog 客户端收集-----------------------------------------------------------------------

------------------------------------------------------------------------------这里就收集到了 ubuntu-server 的 log

RSyslog Windows Agent 客户端收集

Rsyslog Windows Agent - rsyslog 下载连接，需要收费，不建议使用；

1. 打开RSyslog Windows Agent Configuration，在Tools---> Stslog Test Message，配置Syslog Server服务器地址，点击Send，进行测试。

2、依次展示RuleSets，进行Rsyslog转发配置，并启用服务。

防火墙及交换机log收集

交换机配置:
info-center loghost 192.168.108.128  //日志服务器地址
 info-center enable //启动
info-center loghost source Vlanifxx //指定日志发送源接口为逻辑口
info-center source default channel 2 log level debugging//发送所有级别的日志

路由器配置
收集路由器日志以Cisco 2691为例；
此处引用他人测试结果  https://blog.51cto.com/jackyan/1284826

Router>en

Router#configterminal

Enter configurationcommands, one per line.  End with CNTL/Z.

Router(config)#int f0/0

Router(config-if)#ipadd 172.16.1.20 255.255.0.0

Router(config-if)#no shutdown

Router(config-if)#end

Router#ping 172.16.1.2

Type escape sequence toabort.

Sending 5, 100-byteICMP Echos to 172.16.1.2, timeout is 2 seconds:

.!!!!

Router#conf t

Router(config)#logginghost 172.16.1.2

Router(config)#loggingon

Router(config)#loggingtrap notifications

Router(config)#loggingfacility local1

Router(config)#loggingsource-interface FastEthernet0/0


添加设备的主机名和IP的对应，方便显示主机名；

vi/etc/hosts

172.16.0.1  server.magelinux.com server

172.16.1.2      sta2.magedu.com www

172.16.1.20  Cisco2691
-----------------------------------