RHEL 6 如何搭建集中化日志服务器

搭建集中化日志服务器有利于系统到集中化管理，并且提高安全性，即使黑客入侵了这台服务器，也清除不掉自己的入侵痕迹，因为系统已经将日志写到集中化日志服务器中。

RHEL6中使用rsyslog来记录日志
说一下这里到拓扑，三台RHEL6服务器，主机名分别为desktop1和desktop2，desktop3
其中desktop1作为集中化日志服务器，desktop2和desktop3将日志写入到desktop1中。
其中desktopX的IP是192.168.0.X

步骤：
1.修改desktop1中的/etc/rsyslog.conf
取消掉这四行前面到注释：
$ModLoad imudp.so
$UDPServerRun 514
$ModLoad imtcp.so
$InputTCPServerRun 514

然后在结尾处增加如下几行
:fromhost-ip, isequal, "192.168.0.2" /var/log/remote/192.168.0.2-log
& ~

:fromhost-ip, isequal, "192.168.0.3" /var/log/remote/192.168.0.3-log
& ~

这几行的意思是
如果来源等于192.168.0.2，就将日志写在/var/log/remote/192.168.0.2-log
如果来源等于192.168.0.3，就将日志写在/var/log/remote/192.168.0.3-log
&~这个符号是非常重要的,因为它告诉 rsyslog 如果发现已经匹配成功，将停
止处理消息。

修改完成之后，重启rsyslog，rsyslog会自动在/var/log目录下创建remote目录，并且会创建相应的日志文件。

2.修改desktop2和desktop3的rsyslog.conf文件
在rsyslog的头部增加如下行
*.* @@192.168.0.1:
514
这个的意思就是本地所有的日志，都发送到远程的192.168.0.1的514端口。

在desktop2和3上重启rsyslog服务。
3.验证
开一个终端，tail -f /var/log/remote/192.168.0.3-log
在desktop3中重启rsyslog服务，即可看到desktop1上的 /var/log/remote/192.168.0.3-log 文件中新增加：
Oct 18 17:46:21 desktop3 kernel: imklog 4.6.2, log source = /proc/kmsg started.

Oct 18 17:46:21 desktop3 rsyslogd: [origin software="rsyslogd" swVersion="4.6.2" x-pid="3055" x-info="http://www.rsyslog.com"] (re)start

并且，我们将U盘插入desktop3的机器上，desktop1中的日志文件也会有相应的记录。