Table of Contents

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器

LogAnalyzer是一款syslog日志和其它网络事件数据的Web前端。它提供了对日志的简单浏览、搜索、基本分析和一些图表报告的功能。数据可以从数据库或一般的syslog文本文件中获取，所以LogAnalyzer不需要改变现有的记录架构。基于当前的日志数据，它可以处理syslog日志消息，Windows事件日志记录，支持故障排除，使用户能够快速查找日志数据中看出问题的解决方案。

LogAnalyzer获取客户端日志会有两种保存模式，一种是直接读取客户端/var/log/目录下的日志并保存到服务端该目录下，一种是读取后保存到日志服务器数据库中，推荐使用后者。

LogAnalyzer采用php开发，所以日志服务器需要php的运行环境，本文采用LAMP。

名称IP操作系统版本软件组件备注
服务器端192.168.0.123CentOS Linux release 7.9.2009 (Core)httpd/maraidb/php/rsyslog负责接收客户端发来的日志并存储在本地，支持文件存储和数据库存储方式。
客户端192.168.0.124CentOS Linux release 7.9.2009 (Core)rsyslog负责发送日志到远程日志服务器

1 环境准备

1.1 服务器端安装LAMP环境
[root@superman123 ~]# yum install httpd httpd-devel mariadb mariadb-lib mariadb-server php* -y
  • 1.
1.2 服务启动并加入开机启动
1.2.1 Apache
[root@superman123 ~]# systemctl start httpd
[root@superman123 ~]# systemctl enable httpd
  • 1.
  • 2.
1.2.2 MariaDB
[root@superman123 ~]# systemctl start mariadb
[root@superman123 ~]# systemctl enable mariadb
[root@superman123 ~]# mysqladmin -uroot password 'admin@123'
  • 1.
  • 2.
  • 3.
1.2.3 Php

测试php运行环境

[root@superman123 ~]# cat > /var/www/html/index.php << EOF
<?php
phpinfo();
?>
EOF
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.

打开浏览器访问 ：  http://192.168.0.123/

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_LogAnalyzer

2 Rsyslog服务端安装及配置

2.1 安装Rsyslog及Rsyslog连接MySQL的模块
[root@superman123 ~]# yum install rsyslog rsyslog-mysql -y
  • 1.
2.2 导入rsyslog-mysql数据库文件
[root@superman123 ~]# cd /usr/share/doc/rsyslog-8.24.0/
[root@superman123 rsyslog-8.24.0]# mysql -uroot -padmin@123 < mysql-createDB.sql
  • 1.
  • 2.
2.3 查看刚导入的库
[root@superman123 rsyslog-8.24.0]# mysql -uroot -padmin@123
MariaDB [(none)]> show databases;
MariaDB [(none)]> use Syslog;
MariaDB [Syslog]> show tables;
  • 1.
  • 2.
  • 3.
  • 4.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Rsyslog_02

2.4 创建Rsyslog用户
MariaDB [(none)]> grant all on Syslog.* to rsyslog@'localhost' identified by 'admin@123';
MariaDB [(none)]> flush privileges;
  • 1.
  • 2.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_LogAnalyzer_03

2.5 配置服务端支持rsyslog-mysql模块，并开启UDP服务端口获取网内其它设备日志
[root@superman123 ~]# vi /etc/rsyslog.conf
  • 1.
2.5.1 添加以下两行内容
$ModLoad ommysql
*.* :ommysql:localhost,Syslog,rsyslog,admin@123
  • 1.
  • 2.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_日志分析_04 说明：

localhost表示本地主机，Syslog为数据库名，rsyslog为数据库用户，admin@123为数据库用户rsyslog的密码。

2.5.2 开启相关日志模块
$ModLoad immark           # immark为模块名，支持日志标记
$ModLoad imudp            # imudp 为模块名，支持udp协议
$UDPServerRun 514         # 允许514端口接收使用UDP协议转发过来的日志
$ModLoad imtcp            # imudp 为模块名，支持tcp协议
$InputTCPServerRun 514    # 允许514端口接收使用TCP协议转发过来的日志
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_日志分析_05

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_LogAnalyzer_06扩展：UDP协议，中文名是用户数据报协议。在网络中与TCP协议一样用于处理数据包，是一种无连接的协议。在OSI模型中，在第四层-传输层，处于IP协议的上一层。

2.5.3 重启rsyslog服务
[root@superman123 ~]# systemctl restart rsyslog
  • 1.

3 Linux客户端安装及配置

3.1 安装Rsyslog
[root@superman124 ~]# yum install rsyslog -y
  • 1.
3.2 配置Rsyslog
3.2.1 客户端发送本地日志到服务器端
[root@superman124 ~]# vi /etc/rsyslog.conf
*.* @192.168.0.123   # 此行内容 添加到文件末尾
  • 1.
  • 2.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Linux_07配置术语说明：
facility:中文翻译过来是设施的意思，从功能或程序上对日志分类，
在Linux中常见的facility有:
auth（认证相关的日志），authpriv（授权相关的日志），cron（计划任务相关日志），
daemon（系统服务相关日志），ftp（ftp服务相关的日志），kern（内核相关日志），
lpr（打印相关的日志），mail（邮件相关日志），news（新闻相关的日志），
security（安全相关的日志），user（用户相关的日志），uucp（文件copy相关的日志），
local0-local7（自定义相关的日志)

priority：优先级别，从低到高排序:
debug（调试），
info（消息），
notice（注意），
warn（warning警告），
err（error错误），
crit（critical严重警告），
alert（需要立即修改的信息）
emerg（panic内核崩溃，内核恐慌等严重的信息）

一个@代表通过UDP协议发送日志，
两个@@代表以tcp方式传送日志。
与UDP相比，TCP传输的方式更加稳定一些。

3.2.2 将客户端执行的所有命令写入系统日志中

编辑/etc/bashrc

[root@superman124 ~]# vi /etc/bashrc
  • 1.

文件底部添加一行，加入以下内容

export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`]"$msg"; }'
  • 1.

设置使其生效

[root@superman124 ~]# source !$
  • 1.
3.3 重启Rsyslog服务
[root@superman124 ~]# systemctl restart rsyslog
  • 1.
3.4 测试Rsyslog Server是否可以正常接收Client端日志
3.4.1 客户端
[root@superman124 ~]# systemctl restart rsyslog
  • 1.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Rsyslog_08

3.4.2 服务器端
[root@superman123 ~]# tail -f /var/log/messages
  • 1.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_MariaDB_09

4 网络设备客户端配置

4.1 Huawei
<Huawei> system-view
[Huawei] info-center loghost source Vlanif99
[Huawei] info-center loghost 192.168.0.123 facility local5
  • 1.
  • 2.
  • 3.
4.2 H3C
<H3C> system-view
[H3C] info-center loghost source Vlan-interface99
[H3C] info-center loghost 192.168.0.123 facility local6
  • 1.
  • 2.
  • 3.
4.3 Cisco
Cisco>
Cisco> enable
Cisco# config terminal
Cisco(config)# logging on
Cisco(config)# logging 192.168.0.123 
Cisco(config)# logging facility local4
Cisco(config)# logging source-interface e0
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.
  • 6.
  • 7.
4.4 Ruijie
Ruijie>
Ruijie> enable
Ruijie# config terminal
Ruijie(config)# logging buffered warnings
Ruijie(config)# logging source interface VLAN 99
Ruijie(config)# logging facility local6
Ruijie(config)# logging server 192.168.0.123
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.
  • 6.
  • 7.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Rsyslog_10说明：

192.168.0.123为rsyslog服务器的IP。

5 LogAnalyzer安装及配置

5.1 LogAnalyzer安装
[root@superman123 ~]# wget https://download.adiscon.com/loganalyzer/loganalyzer-4.1.13.tar.gz
[root@superman123 ~]# tar zxvf loganalyzer-4.1.13.tar.gz
[root@superman123 ~]# cd loganalyzer-4.1.13
[root@superman123 loganalyzer-4.1.13]# mkdir /var/www/html/loganalyzer
[root@superman123 loganalyzer-4.1.13]# rsync -a src/* /var/www/html/loganalyzer/
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.
5.2 LogAntlyzer配置
5.2.1 Step 0-访问LogAntlyzer

浏览器中访问192.168.0.123/loganalyzer

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Rsyslog_11

提示没有配置文件，点击here下一步；

5.2.2 Step 1-先决条件

点击Next；

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_LogAnalyzer_12

5.2.3 Step 2-验证文件权限

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_日志分析_13

提示错误：缺少config.php文件，并且权限要设置为666，可以使用contrib目录下的configure.sh脚本生成。

查看configure.sh文件的内容

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_LogAnalyzer_14

需要在/var/www/html/loganalyzer/下创建config.php文件，并设置666权限

[root@superman123 contrib]# touch /var/www/html/loganalyzer/config.php
[root@superman123 contrib]# chmod 666 !$
  • 1.
  • 2.

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_LogAnalyzer_15

操作完上面的，执行Recheck，config.php文件可写

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_MariaDB_16

点击Next进行下一步；

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_MariaDB_17

5.2.4 Step 3-基础设置

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_MariaDB_18

5.2.5 Step 4-创建表

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Linux_19

5.2.6 Step 5-检查SQL结果

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_日志分析_20

5.2.7 Step 6-创建用户

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Rsyslog_21

5.2.8 Step 7-创建系统日志源

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Linux_22

5.2.9 Step 8-完成

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_LogAnalyzer_23

**注意：**点击Finishi之后，如果报could not find the configured table, maybe misspelled or the table names are case sensitive。请按照以下方法处理：

[root@superman123 contrib]# vi /var/www/html/loganalyzer/config.php
  • 1.

更改DBTableName为区分大小写的SystemEvents。

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Linux_24

查看LogAnalyzer首页

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_日志分析_25

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Linux_26

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_日志分析_27

5.2.10 测试登录

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_Rsyslog_28

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_LogAnalyzer_29

👍 点赞，你的认可是我创作的动力！

⭐️ 收藏，你的青睐是我努力的方向！

✏️ 评论，你的意见是我进步的财富！

原文链接： https://mp.weixin.qq.com/s?__biz=MzkxNzI1OTE3Mw==&mid=2247491935&idx=1&sn=35bfad18cb3a3f54556647be19096f59&chksm=c141f795f6367e83f7f30dcc07fbbf9c5913c8eff18297141797d211cfaf7d03a859e7f225df&token=1254254417&lang=zh_CN#rd

Linux Rsyslog+LogAnalyzer+MariaDB部署日志服务器_日志分析_30