1. Приготовление:
2. Время:
3. Ubuntu 10.04 LTS
4. Gentoo
5. Ведение журнала:
6. Rsyslog на Gentoo
7. Rsyslog на Ubuntu 10.04 LTS
8. RELP: надежный протокол регистрации событий
9. Повышение надежности ваших систем регистрации
10. Просмотр:
11. Ваши другие коробки
12. Сетевые устройства
13. OS X
14. Windows
15. Еще больше источников

Разве не было бы неплохо, если бы у вас был веб-интерфейс для журналов на центральном сервере журналов? Ну, не мечтай больше, потому что это реальность благодаря LogAnalyzer (он же phplogcon) , Давайте посмотрим, как настроить его и предложенный вариант системного журнала, Rsyslog на центральном сервере журналов. Мы подойдем к этому с точки зрения обоих Gentoo где rsyslog не является значением по умолчанию (и ничем иным) и Ubuntu 10.04 LTS который уже использует rsyslog в качестве регистратора де-факто. Также стоит упомянуть, что, согласно сайту rsyslog, мягкая фетровая шляпа также теперь по умолчанию используется rsyslog.

Приготовление:

Прежде чем мы углубимся в настройку всего этого, нам нужно сделать небольшую подготовительную работу. Если вы собираетесь просматривать эти журналы в веб-браузере, было бы хорошо, если бы отображаемые вами отметки времени отражали соответствующий часовой пояс. Для этого я позаимствую у Gentoo Handbook как это подходит для обоих дистрибутивов:

7. А. Часовой пояс
Сначала вам нужно выбрать часовой пояс, чтобы ваша система знала, где он находится. Найдите ваш часовой пояс в / usr / share / zoneinfo, затем скопируйте его в / etc / localtime. Пожалуйста, избегайте / usr / share / zoneinfo / Etc / GMT * часовых поясов, так как их названия не указывают ожидаемые зоны. Например, GMT-8 на самом деле GMT ​​+ 8.

Предположим, вы находитесь в восточном часовом поясе:

~ # cp / usr / share / zoneinfo / EST5EDT / etc / localtime

Время:

Если вы собираетесь собирать все свои журналы в одном месте, то также становится достаточно важным, чтобы все участники знали точное время. Для этого вы можете использовать NTP-клиент.

Ubuntu 10.04 LTS

Используя ваш любимый текстовый редактор, создайте файл /etc/cron.daily/ntpdate и вставьте следующее:

ntpdate ntp.ubuntu.com

Сохраните файл тогда

~ # chmod 755 /etc/cron.daily/ntpdate

Теперь давайте запустим его, чтобы скорректировать наше время:

~ # /etc/cron.daily/ntpdate

Наконец, проверьте ...

~ # date Вы должны увидеть ваше текущее время здесь.

Gentoo

В Gentoo об этом заботится net-misc / ntp.

~ # emerge -a ntp Это пакеты, которые будут объединены по порядку: Расчет зависимостей ... готово! [ebuild N] net-misc / ntp-4.2.4_p7-r1 USE = "ssl -caps -debug -ipv6 -openntpd -parse-clocks (-selinux) -vim-синтаксис -zeroconf" Хотите объединить эти пакеты? [Да / Нет] y ~ # cp /usr/share/ntp/ntp.conf /etc/ntp.conf ~ # rc-update add ntp-client default * ntp-client добавлен в уровень запуска default ~ # rc-update add ntpd default * ntpd добавлен к уровню запуска default ~ # /etc/init.d/ntp-client start * Кэширование зависимостей службы ... [ok] * Установка часов с помощью NTP-клиента 'ntpdate' ... [ok] ~ # / etc /init.d/ntpd start * Запуск ntpd ... [ok] ~ # date Вы должны увидеть ваше текущее время здесь.

Ведение журнала:

Теперь, когда у нас синхронизированы часы, давайте перейдем к мясу и картофелю этой статьи. Здесь есть несколько обязательных программных пакетов, которые необходимо установить: Apache, MySQL, PHP ... он же стек LAMP. Я не буду вдаваться в подробности, но хочу отметить пару вещей:

• В Gentoo я предлагаю добавить следующее в /etc/portage/package.keywords. Если у вас нет 64-битной системы, замените ~ amd64 на ~ x86.
  • dev-db / mysql ~ amd64
  • виртуальный / mysql ~ amd64
  • dev-lang / php ~ amd64
• Я также предлагаю установить флаги использования mysql и php в /etc/make.conf
• В Ubuntu просто запустите tasksel и выберите LAMP оттуда.

  

• После установки стека LAMP не забудьте перезапустить Apache вручную.
• В обоих дистрибутивах я бы также предложил настроить phpMyAdmin для упрощения управления MySQL.

Rsyslog на Gentoo

Gentoo, возможно, изначально не был настроен с помощью rsyslog, так что давайте запустим его. Перед тем, как его появиться, вам нужно добавить relp в качестве флага использования.

~ # emerge -a rsyslog Это пакеты, которые будут объединены по порядку: Расчет зависимостей ... готово! [ebuild N] dev-libs / librelp-0.1.1 USE = "- debug" [ebuild N] app-admin / rsyslog-3.22.0 USE = "mysql relp zlib -dbi -debug -gnutls -kerberos -postgres -snmp "Хотите ли вы объединить эти пакеты? [Да / Нет] y После установки rsyslog запустите его скрипт для создания базы данных и таблиц в MySQL: ~ # mysql
Проверьте это с помощью следующих команд: ~ # mysql -p -e "show database;"
Вы должны увидеть базу данных с именем Syslog. ~ # mysql -p -e "показать таблицы;" Syslog
Вы должны увидеть две таблицы в этой.
Теперь создайте пользователя, который rsyslog может использовать для манипулирования базой данных Syslog: ~ # mysql -p -e "предоставить все в Syslog. * Для rsyslog @ 'localhost", идентифицированного как "пароль"; "
Теперь нам нужно сделать пару твиков в /etc/rsyslog.conf. Добавьте это чуть ниже комментариев вверху: # Вход в MySQL stuff $ ModLoad ommysql *. *: Ommysql: localhost, Syslog, rsyslog, пароль
В нижней части окна измените внешний вид так: # ######### Получение сообщений от удаленных хостов ########## # Сервер системного журнала TCP: # обеспечивает прием системного журнала TCP и GSS -API (если скомпилирован для его поддержки) $ ModLoad imtcp.so # load module $ InputTCPServerRun 514 # запустить сервер системного журнала TCP на стандартном порту 514 # Сервер системного журнала UDP: $ ModLoad imudp.so # обеспечивает прием системного журнала UDP $ UDPServerRun 514 # start сервер системного журнала UDP на стандартном порту 514
Теперь давайте запустим наш новый регистратор и остановим старый. ~ # rc-update del syslog-ng // или любой другой регистратор, который вы использовали. * 'syslog-ng' удален из следующих уровней запуска: default ~ # rc-update add rsyslog default * rsyslog добавлен к уровню запуска по умолчанию ~ # /etc/init.d/rsyslog start * Запуск rsyslogd ... [ok]
Если ваш терминал недостаточно широк, читать его немного сложно, но вы можете проверить, что журналы отправляются в базу данных с помощью ~ # mysql -p -e "SELECT * FROM Syslog.SystemEvents;"
Теперь, когда rsyslog запущен, мы можем избавиться от старого регистратора ... ~ # emerge -aC syslog-ng

Rsyslog на Ubuntu 10.04 LTS

Ubuntu теперь поставляется с rsyslog в качестве дефакт-логгера, но нам нужно добавить немного дополнительной функциональности. А именно, нам нужно добавить поддержку вывода MySQL и добавить протокол надежного ведения журнала событий (relp): ~ # apt-get install rsyslog-mysql rsyslog-relp Чтение списков пакетов ... Готово Построение дерева зависимостей Чтение информации о состоянии ... Готово Будут установлены следующие дополнительные пакеты: dbconfig-common librelp0 Будут установлены следующие НОВЫЕ пакеты: dbconfig-common librelp0 rsyslog-mysql rsyslog-relp 0 обновлено, 4 вновь установлено, 0 удалено и 0 не обновлено. Нужно достать 677кБ архивов. После этой операции будет использовано 2335 КБ дополнительного дискового пространства. Вы хотите продолжить [Да / Нет]? Y
Во время процесса установки вам будет предложено создать таблицы, необходимые для MySQL:

Сделай это. Затем вам будет предложено ввести пароль root для MySQL, после чего вас попросят создать пароль для использования rsyslog. Это пароль, который rsyslog будет использовать в своих конфигурационных файлах.
Теперь, как и в Gentoo, нам нужно сделать пару изменений в конфигурационных файлах rsyslog. Самое большое отличие здесь заключается в том, что Ubuntu использует тот факт, что rsyslog может использовать несколько файлов конфигурации, которые объединены в одну «конфигурацию». У вас все еще есть /etc/rsyslog.conf, но у вас также есть каталог с именем /etc/rsyslog.d / который содержит дополнительные конфиги. Там вы увидите файл с именем mysql.conf, который содержит необходимую информацию для выгрузки наших журналов в базу данных. Чтобы включить прием удаленных журналов, хотя нам еще нужно откомментировать пару строк в /etc/rsyslog.conf # обеспечивает прием системного журнала UDP $ ModLoad imudp $ UDPServerRun 514 # обеспечивает прием системного журнала TCP $ ModLoad imtcp $ InputTCPServerRun 514
Теперь давайте применим наши изменения: ~ # service rsyslog restart
Как я уже упоминал в разделе Gentoo, читать немного сложно, если ваш терминал недостаточно широк, но вы можете проверить, что журналы идут в базу данных с помощью ~ # mysql -p -e "SELECT * FROM Syslog.SystemEvents ;»

RELP: надежный протокол регистрации событий

В этот момент мы настроили наши серверы на прием сообщений по TCP и UDP через стандартный порт 514, что необходимо для совместимости с большинством сетевых устройств, которые могут пересылать журналы на центральный сервер. Теперь давайте сделаем еще один шаг и добавим поддержку файлов конфигурации для третьего протокола: ОВЛП , который реализуется через librelp , Предполагается, что это гораздо более надежный способ отправки данных системного журнала по сети, чем даже TCP. Больше информации о ненадежности tcp и создании RELP можно найти в блоге разработчика , Rsyslog имеет встроенную поддержку для этого через imrelp & omrelp модули.
Теперь в Gentoo снова отредактируйте файл /etc/rsyslog.conf и добавьте следующее в конец файла: # Сервер системного журнала RELP: $ ModLoad imrelp.so # обеспечьте прием системного журнала RELP $ InputRELPServerRun 20514 # запустите сервер системного журнала RELP на порту 20514
А в Ubuntu используйте свой любимый редактор и создайте /etc/rsyslog.d/relp.conf и введите в него следующее: $ ModLoad imrelp $ InputRELPServerRun 20514

Повышение надежности ваших систем регистрации

Одна из многих полезных статей на rsyslog.com объясняет как записать огромное количество данных системного журнала в базу данных настроив буферизацию на вашем сервере, чтобы меньше вероятность потери сообщений, если система или ссылка находятся под очень высокой нагрузкой. Для этого сначала нужно создать рабочий каталог, в котором он может хранить файлы очереди, если это необходимо. ~ # mkdir -p / var / rsyslog / work
Теперь нам нужно добавить следующее в /etc/rsyslog.conf или /etc/rsyslog.d/mysql.conf # Буферизация: $ WorkDirectory / var / rsyslog / work # расположение по умолчанию для рабочих (спул) файлов $ ActionQueueType LinkedList # использовать асинхронную обработку $ ActionQueueFileName dbq # установить имя файла, также включает режим диска $ ActionResumeRetryCount -1 # бесконечные попытки при ошибке вставки
И теперь нам нужно перезапустить rsyslog:
Gentoo: ~ # /etc/init.d/rsyslog restart
Ubuntu: ~ # перезапуск службы rsyslog

Просмотр:

Чтобы просмотреть информацию, которую мы сейчас выгружаем в MySQL через Интернет, нам нужно настроить LogAnalyzer. Шаг первый - загрузить программное обеспечение с http://loganalyzer.adiscon.com/downloads , На момент написания этой статьи последняя версия v3.0.1. ~ # wget http://download.adiscon.com/loganalyzer/loganalyzer-3.0.1.tar.gz ~ # tar -xzf loganalyzer - *. *. *. tar.gz ~ # cd loganalyzer-3.0.1 ~ / loganalyzer-3.0.1 # mkdir / var / www / logs ~ / loganalyzer-3.0.1 # cp -R src / * / var / www / logs / ~ / loganalyzer-3.0.1 # cp contrib / * / var / www / logs / ~ / loganalyzer-3.0.1 # cd / var / www / logs / / var / www / logs # chmod + x configure.sh secure.sh / var / www / logs # ./configure.sh
Чтобы включить аутентификационную часть LogAnalyzer, нам нужно создать пустую базу данных для хранения пользователей и предоставить ей привилегии. / var / www / logs # mysql -p mysql> создать базу данных LogAnalyzerUsers; mysql> показывать базы данных; mysql> предоставить все в LogAnalyzerUsers. * для LAUser @ 'localhost', идентифицированного как 'password'; mysql> выход
*** Части следующего раздела являются прямыми цитатами из http://loganalyzer.adiscon.com/doc/install.html :
Теперь перейдите к Http: // yourlogserver / журналы / и вам будет показан сценарий установки, который проведет вас через процесс настройки LogAnalyzer.
Базовая конфигурация
Вы можете установить несколько основных параметров здесь.

• Количество сообщений системного журнала на странице = 50 (по умолчанию)
• Это количество сообщений системного журнала, отображаемых на каждой странице. Вы можете увеличить значение (замедляет LogAnalyzer) или уменьшить значение (ускоряет его).
• Предел символа сообщения для основного вида = 80 (по умолчанию)
• Установите количество символов в сообщении, которое будет отображаться в последнем столбце основного представления. Полные сообщения можно просмотреть, наведя на них курсор мыши.
  • Многие люди предпочитают использовать настройку «0», что означает, что полные сообщения будут отображаться
• Показать детали сообщения всплывающее окно (по умолчанию да) = да (по умолчанию) Обратите внимание, что многие люди считают всплывающие окна навязчивыми и предпочитают их отключать. Используйте «нет» в этом случае.
• Во время установки вам также будет предложено включить базу данных пользователей. Сделайте это и введите запрашиваемую информацию.
• Через пару страниц вам будет предложено для основного (админ) пользователя.
• Значения по умолчанию на шаге 7 демонстрируют, что возможно использовать это без серверной части базы данных. Нам нужно изменить это, чтобы соответствовать нашей настройке, хотя.
• Назовите источник логично, так как это будут скомпилированные журналы со всех ваших серверов.
• Тип источника = MYSQL Native
• Выберите Вид = Поля системного журнала
• Тип таблицы = MonitorWare
• Хост базы данных = localhost
• Имя базы данных = системный журнал
• Имя таблицы базы данных = SystemEvents
• Пользователь базы данных = rsyslog
• Включить подсчет строк = нет

Как только вы закончите, войдите в свой новый сайт и посмотрите, что было зарегистрировано на вашем сервере до сих пор.

Ваши другие коробки

Linux и Solaris

Настройка других ваших окон довольно проста. Для этого примера предположим, что сервер, который вы настраиваете, называется myserv. Если вы не хотите редактировать файл хостов, используйте вместо myserv полное доменное имя или IP-адрес. Если вы хотите запустить rsyslog для них, все, что вам нужно сделать, это установить librelp, а затем добавить следующее в ваш файл конфигурации rsysnc:

$ ModLoad omrelp # пересылать сообщения на удаленный сервер "myserv" на # порту 20514 *. *: Omrelp: myserv: 20514; RSYSLOG_ForwardFormat

Подробности об этом можно найти на omrelp page , Если вы используете традиционную версию системного журнала, вы будете отправлять свои сообщения через UDP. Для этого добавьте в ваш файл syslog.conf следующее:

*. * @myserv

Это работает на большинстве хостов Linux вместе с Solaris. Просто не забудьте перезапустить ваш регистратор, чтобы он считал изменения в файле конфигурации.

Сетевые устройства

Если вы хотите направить сетевые устройства на этот сервер, просто помните, что он прослушивает порт 514 для соединений TCP и UDP.

OS X

OS X уже использует syslog, поэтому он в основном совпадает с настройкой Linux ... просто добавьте следующее в /etc/syslog.conf:

*. * @myserv

Теперь перезапустите системный журнал с

startctl stop com.apple.syslogd launchctl start com.apple.syslogd

Windows

Если вы хотите, чтобы ваши машины с Windows 2000 - Server 2008 отправляли журналы на ваш новый центральный сервер журналов, проверьте EventLog к Syslog , Просто скачайте его, разархивируйте, скопируйте evtsys.exe в C: \ Windows \ system32 \ и выполните

C: \ Windows \ system32> evtsys.exe -i -h ip.address.of.myserv

Я протестировал 64-разрядную версию этого на виртуальной машине Windows 7 Enterprize, и она отлично работала.

Еще больше источников

Вы также можете отправлять журналы с Apache, IIS, ISA, прокси-серверов Squid, Lotus Notes, Exchange и других на ваш центральный сервер журналов. Взгляните на Snare Agents из Пересечь Альянс , Они доступны от обоих их сайт а также SourceForge ,

Удачной регистрации :)

Похожие

Комментарии