Централизованный мониторинг сервера RSYSLOG

В этом руководстве приведены пошаговые инструкции по установке сервера RSYSLOG на Debian  и отправке данных syslog с нескольких клиентских серверов.

Мы также покажем, как установить веб-сервер Apache и сервер базы данных MySQL для сбора данных syslog и как установить LogAnalyzer, чтобы легко просматривать собранные данные с помощью веб-браузера.

Я использую готовый шаблон виртуализации OpenVZ для этой настройки, но это также должно работать на большинстве операционных систем на базе Debian.

Я не гарантирую, что это сработает у вас!

Установка сервера RSYSLOG

В этой первой части описывается, как создать сервер RSYSLOG, который будет собирать данные syslog от своих клиентов.

В этом примере наш сервер называется rsyslog.domain.com и имеет фиксированный IP-адрес 192.168.0.15.

Сначала мы установим некоторые зависимости.

 apt-get update 
 apt-get upgrade 
 apt-get install rsyslog rsyslog-mysql unzip zip binutils cpp fetchmail flex gcc libarchive-zip-perl libc6-dev libcompress-zlib-perl libpcre3 libpopt-dev lynx m4 make ncftp nmap openssl perl perl-modules zlib1g-dev autoconf automake1.9 libtool bison autotools-dev g++ mysql-server mysql-client libmysqlclient15-dev apache2 apache2-doc apache2-mpm-prefork apache2-utils libexpat1 ssl-cert libdb4.6-dev libapache2-mod-php5 php5 php5-common php5-curl php5-dev php5-gd php5-idn php-pear php5-imagick php5-imap php5-json php5-mcrypt php5-memcache php5-mhash php5-ming php5-mysql php5-ps php5-pspell php5-recode php5-snmp php5-sqlite php5-tidy php5-xmlrpc php5-xsl

Создайте пароль сервера MySQL, когда установка попросит вас ввести его!

У моего шаблона OpenVZ все это готово было.

 apt-get install linux-kernel-headers 

Убедитесь что службы подняты и запущены

/etc/init.d/rsyslog restart
/etc/init.d/mysql restart
/etc/init.d/apache2 restart

Убедитесь, что сервер прослушивает соответствующие IP-порты TCP. (80 и 3306).

RSYSLOG в настоящее время не слушает ни одного порта.

 rsyslog:~# netstat -tapn 
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN      415/mysqld
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      581/apache2

Затем мы можем создать базу данных rsyslog:

 mysqladmin -u root -p create rsyslog 

Затем мы запускаем командную оболочку MySQL и создаем пользователя rsyslog:

mysql -u root -p</p>
<p class="command">GRANT SELECT, INSERT, UPDATE, DELETE ON rsyslog.* TO 'rsyslog'@'localhost' IDENTIFIED BY 'ENTER-YOUR-NEW-RSYSLOG-PASSWORD-HERE';</p>
<p class="command">FLUSH PRIVILEGES;</p>
<p class="command">quit

Затем мы настраиваем сервер rsyslog для прослушивания на TCP-порту 514:

 vi /etc/rsyslog.conf

Добавьте эти строки … (не забудьте изменить свой пароль на тот, который вы ввели при создании пользователя rsyslog вашего сервера MySQL).

$ModLoad MySQL
*.* >127.0.0.1,rsyslog,rsyslog,ENTER-YOUR-NEW-RSYSLOG-PASSWORD-HERE

… и удалите комментарии перед строками, связанными  TCP syslog.

# /etc/rsyslog.conf Configuration file for rsyslog v3.
#
# For more information see
# /usr/share/doc/rsyslog-doc/html/rsyslog_conf.html
$ModLoad MySQL
*.* >127.0.0.1,rsyslog,rsyslog,ENTER-YOUR-NEW-RSYSLOG-PASSWORD-HERE
#################
#### MODULES ####
#################
$ModLoad imuxsock # provides support for local system logging
$ModLoad imklog # provides kernel logging support (previously done by rklogd)
#$ModLoad immark # provides --MARK-- message capability
# provides UDP syslog reception
#$ModLoad imudp
#$UDPServerRun 514
# provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514
###########################
#### GLOBAL DIRECTIVES ####
###########################

И перезапустите службу rsyslog.

 /etc/init.d/rsyslog restart 

Убедитесь, что сервер прослушивает соответствующие IP-порты TCP. (80, 514 и 3306.)

 rsyslog:~# netstat -tapn 
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:514 0.0.0.0:* LISTEN 618/rsyslogd
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 415/mysqld
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 581/apache2

Затем мы загружаем LogAnalyzer и настраиваем веб-сервер Apache для отображения журналов.

cd /tmp

wget http://download.adiscon.com/loganalyzer/loganalyzer-3.4.1.tar.gz

tar xvzf loganalyzer-3.4.1.tar.gz

mv loganalyzer-3.4.1/ /var/www/

cd /var/www

Затем мы настраиваем права доступа к веб-папкам для веб-сервера Apache.

 chown www-data: www-data *. -Rf 

И затем мы делаем некоторые «приятные» работы в папках LogAnalyzer.

mv loganalyzer-3.4.1/ loganalyzer

cd contrib/

cp * ./../src/

cd ./../src/

sh ./configure.sh

И мы готовы погрузиться в окончательную настройку LogAnalyzer с помощью нашего веб-браузера.

Направьте свой веб-браузер на фиксированный IP-адрес нашего сервера rsyslog, который в этом демо: http://192.168.0.15/loganalyzer/src/install.php

Пройдите через простой сценарий настройки (это довольно много … далее -> далее).

Теперь вам нужно запустить рабочий сервер rsyslog с LogAnalyzer.

Затем мы настраиваем клиенты RSYSLOG для отправки своих данных syslog на сервер rsyslog:

Настройка клиентов RSYSLOG

Обычно все, что нам нужно сделать, это настроить файл rsyslog.conf и перезапустить службу.

(Почти все дебианы поставляются с предварительно установленным rsyslog.)

 vi /etc/rsyslog.conf

Добавьте строки каталога которые используются в случае потери сетевого подключения и изменения IP-адреса сервера rsyslog IP до 192.168.0.15. (Вы также можете создать каталог / rsyslog / work spool с помощью команды mkdir.)

# provides TCP syslog reception
#$ModLoad imtcp
#$InputTCPServerRun 514
$WorkDirectory /rsyslog/work # default location for work (spool) files
$ActionQueueType LinkedList # use asynchronous processing
$ActionQueueFileName srvrfwd # set file name, also enables disk mode
$ActionResumeRetryCount -1 # infinite retries on insert failure
$ActionQueueSaveOnShutdown on # save in-memory data if rsyslog shuts down
*.* @@YOUR-RSYSLOG-SERVER-ADDRESS-HERE
###########################
#### GLOBAL DIRECTIVES ####
###########################

И перезапустите службу rsyslog.

 /etc/init.d/rsyslog restart 

Убедитесь, что сервер подключен к соответствующему TCP-порту TCP (514).

 root@ic1:~# netstat -tapn 
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 192.168.0.100:49188 192.168.0.15:514 ESTABLISHED 13289/rsyslogd

Вот как выглядит успешная установка.

 

cryptoparty

Cryptography is typically bypassed, not penetrated.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

5e7fa976b0640d40