Centos6.7搭建Rsyslog日誌伺服器

阿新 • • 發佈：2019-01-29

前言：

隨著機房內的伺服器和網路裝置增加，日誌管理和查詢就成了讓系統管理員頭疼的事。

系統管理員遇到的常見問題如下：

1、日常維護過程中不可能登入到每一臺伺服器和裝置上去檢視日誌；
2、網路裝置上的儲存空間有限，不可能儲存日期太長的日誌，而系統出現問題又有可能是很久以前發生的某些操作造成的；
3、在某些非法入侵的情況下，入侵者一般都會清除本地日誌，清除入侵痕跡；
4、zabbix等監控系統無法代替日誌管理，無法監控如系統登入、計劃任務執行等專案。

基於上述原因，在當前的網路環境中搭建一臺用於日誌集中管理的Rsyslog日誌伺服器就顯得十分有必要了。

Rsyslog服務的優點如下：

1、Rsyslog伺服器可以大多數的網路裝置支援，在網路裝置的系統裝置選項中大多都有遠端日誌服務的配置選項。只需要填寫上IP地址和埠（大多數裝置已經預設是514了），然後確定就可以了；
2、Linux伺服器只需要在本地的Rsyslog服務配置中加入簡單的一行就可以將日誌傳送到日誌伺服器，佈署和配置起來十分簡單；
3、通過軟體（如evtsys）也可以支援Windows伺服器，佈署和配置也不是很難，但是有些軟體是要收費的；
4、搭配前端的loganalyzer等軟體，可以輕鬆實現圖形化管理和查詢日誌。

一、Rsyslog伺服器的安裝與配置

1、清空iptabels, 關閉selinux避免安裝過中報錯

清空iptables

iptables -F
service iptables save

關閉selinux

setenforce 0
vim /etc/selinux/conifg

將配置檔案中的
SELINUX=enforcing
修改為：
SELINUX=disabled

2、yum安裝LAMP環境及rsyslog、rsyslog mysql支援模組

yum install -y mysql-server mysql-devel libcurl-devel net-snmp-devel php php-gd php-xml php-mysql httpd rsyslog rsyslog-mysql

3、設定mysqld和httpd開機啟動，並啟動服務

chkconfig mysqld on
chkconfig httpd on

service mysqld start
service httpd start

4、修改mysql的root密碼

mysqladmin -u root password "你的密碼"

修改密碼後就可以使用如下命令登入mysql

mysql -u root -p

5、修改mysql的配置檔案，支援uft8

因為通過 yum安裝的mysql是不支援uft8的，在收集Windows伺服器的日誌和某些支援中文的裝置的情況下，收集到的日誌無法正確顯示，因此需要修改mysql配置檔案支援中文顯示。

配置檔案全文如下：

[mysqld]
datadir=/var/lib/mysql
socket=/var/lib/mysql/mysql.sock
user=mysql
# Disabling symbolic-links is recommended to prevent assorted security risks
symbolic-links=0
character_set_server=utf8
init_connect='SET NAMES utf8'
default-character-set=utf8

[mysql]
default-character-set=utf8

[mysql.server]
default-character-set=utf8

[mysqld_safe]
log-error=/var/log/mysqld.log
pid-file=/var/run/mysqld/mysqld.pid
default-character-set=utf8

[client]
default-character-set=utf8

重啟mysqld服務

service mysqld restart

6、匯入Rsyslog資料庫到mysql

Rsyslog的mysql資料庫預設檔案是：

/usr/share/doc/rsyslog-mysql-5.8.10/createDB.sql

在rsyslog-mysql相應版本的資料夾中
你可以使用下列命令中查詢到：

echo  $(rpm -ql rsyslog-mysql | grep sql$)

使用如下命令將檔案匯入到mysql:

mysql -u root -p < $(rpm -ql rsyslog-mysql | grep sql$)

隨後輸入你在第3步中設定的mysql密碼就可以匯入資料庫了，資料庫名為：Syslog

7、設定Rsyslog資料庫的字符集

上一步匯入的資料庫只有二個表: SystemEvents 和 SystemEventsProperties
Syslog資料庫及這二個表的預設字符集也不是uft8，需要進行修改

#修改Syslog資料庫的字符集
mysql> ALTER DATABASE `Syslog` DEFAULT CHARACTER SET utf8 COLLATE utf8_general_ci;

#修改相應資料表的字符集
mysql> alter table SystemEvents  default character set =utf8;

mysql> alter table SystemEventsPorperties  default character set =utf8;

檢視修改後的效果：

#檢視資料庫的字符集設定
mysql> show variables like 'character%';

#檢視Systlog資料庫所有表的字符集設定
mysql> use Syslog;
mysql> show table status from Syslog\G;

8、建立Rsyslog資料庫使用者

登入mysql建立Rsyslog的資料庫使用者logger

#登入mysql
mysql -u root -p

#建立使用者 
mysql> grant all privileges on Syslog.* to 'rsyslog'@'localhost' identified by '147258'; 
mysql> flush privileges; 
mysql> exit;

9、修改rsyslog配置檔案

vim /etc/sysconfig/rsyslog

配置檔案如下：

# Options for rsyslogd
# Syslogd options are deprecated since rsyslog v3.
# If you want to use them, switch to compatibility mode 2 by "-c 2"
# See rsyslogd(8) for more details
SYSLOGD_OPTIONS="-c 2 -r -x -m 180"
KLOGD_OPTIONS="-x"

各引數詳解：
-c 指定執行相容模式。
-r 指定監聽埠。預設514
-x 在接收客戶端訊息時，禁用DNS查詢。需和-r引數配合使用。
-m 標記時間戳。單位是分鐘，為0時，表示禁用該功能。

10、配置服務端支援rsyslog-mysql模組，並開啟UDP服務埠

vim /etc/rsyslog.conf

在#### MODULES ####下新增這兩行

$ModLoad ommysql.so
*.* :ommysql:localhost,Syslog,rsyslog,147258

注:localhost表示本地主機，Syslog為資料庫名，rsyslog為資料庫的使用者，147258為該使用者密碼

取消下面三行註釋

$ModLoad immark
$ModLoad imudp
$UDPServerRun 514

重啟rsyslog服務：

service rsyslog restart

11、新增服務端iptables防火牆規則

如果服務端有需要配置iptables規則的話，執行如下命令開放TCP和UDP的514埠

iptables -I INPUT -p tcp --dport 514 -j ACCEPT

iptables -I INPUT -p udp --dport 514 -j ACCEPT

service iptables save

二、Loganalyzer安裝與配置

1、下載Loganalyzer

從Loganalyzer官網下載安裝檔案到/usr/local/src目錄下
最新版本是4.1.3 穩定版本是：3.6.6

2、解壓檔案並複製原始碼到apache的loganalyzer目錄

cd /usr/local/src
tar -zxvf loganalyzer-4.1.3.tar.gz
cd loganalyzer-4.1.3
mkdir -p /var/www/html/loganalyzer/
cp -r src/* /var/www/html/loganalyzer/
cp -r contrib/* /var/www/html/loganalyzer/

3、生成空的配置檔案並設定許可權

cd /var/www/html/loganalyzer/
touch config.php
chmod 666 config.php

4、修改php環境

為配合LogAnalyzer對php環境的要求，請修改/etc/php.ini中的內容為：

memory_limit = 512M  
max_execution_time = 120

5、建立apache日誌目錄

# mkdir -p  /var/log/httpd/loganalyzer

6、配置apache

這部分，請根據apache實際情況操作。以預設系統為例，虛擬主機配置檔案都放在/etc/httpd/conf/httpd.conf

配置檔案修改如下：

Listen 80
ServerAdmin [email protected]
ServerName log_server:80
DocumentRoot "/var/www/html/loganalyzer"
<Directory />
    Options FollowSymLinks
    AllowOverride All
</Directory>
<Directory "/var/www/html/loganalyzer">
    Options Indexes FollowSymLinks
    AllowOverride All
    Order allow,deny
    Allow from all
</Directory>

ErrorLog /var/log/httpd/loganalyzer/error.log
LogLevel warn
CustomLog /var/log/httpd/loganalyzer/access_log combined
ServerSignature On

重啟httpd服務

service httpd restart

7、Loganalyzer初始化配置

在瀏覽器輸入網址，進入安裝嚮導
訪問http://serverip:80
一共8個步驟，這裡只將需要修改的步驟列出，其餘只需要”Next”即可

第3步：”Enable User Database”選擇“Yes”；

第4、5二個步驟是指定使用者資料庫資訊（資料庫指定為：Syslog）和建立使用者

第7步：”Source Type” 選擇 “MYSQL Native”並在下載配置資料庫資訊
這裡寫圖片描述

第8步Finish後，完成安裝就可登入並檢視日誌資訊了。

三、Linux客戶端配置

Centos預設都會安裝rsyslog。

1、確認rsyslog服務是否啟動

chkconfig | grep rsyslog

如果沒有設定為開機啟動，執行如下命令：

chkconfig rsyslog on
service rsyslog start

2、配置Rsyslog客戶端傳送本地日誌到服務端

vim /etc/rsyslog.conf

在末行新增一行：

*.* @192.168.7.201

注:192.168.7.201 為日誌伺服器端IP地址

3、重啟Rsyslog服務

service rsyslog restart

這時在服務端重新整理就可以看到相關日誌資訊了。

四、Windows客戶端配置

Loganalyzer官網推薦在Winodws上使用Winsyslog來實現日誌資料的收集和傳送，但是這個軟體是收費的。這裡用一個開源的軟體Evtsys，但這個軟體也有個問題無法在Server 2012以上的系統中使用，在Server 2008中是沒有問題的

Evtsy官網由於是佈署在google伺服器上的因此現在無法訪問，可以到網上去搜索下載。
下載後的檔案解壓將裡面的evtsys.exe檔案放到c:\windows\System32目錄下，然後執行cmd執行下面的命令：

evtsys -i -s 10 -h log-server-ip -p 514 
net start evtsys

只要看到最後的安裝成功即可。
以下附上命令的詳細引數

Version: 4.4 (32-bit) 
Usage: evtsys.exe -i|-u|-d [-h host] [-b host] [-f facility] [-p port] 
       [-s minutes] [-l level] [-n] 
  -i           Install service 
  -u           Uninstall service 
  -d           Debug: run as console program 
  -h host      Name of log host 
  -b host      Name of secondary log host (optional) 
  -f facility  Facility level of syslog message 
  -l level     Minimum level to send to syslog.\n", stderr); 
           0=All/Verbose, 1=Critical, 2=Error, 3=Warning, 4=Info 
  -n           Include only those events specified in the config file. 
  -p port      Port number of syslogd 
  -q bool      Query the Dhcp server to obtain the syslog/port to log to 
               (0/1 = disable/enable) 
  -s minutes   Optional interval between status messages. 0 = Disabled 

Default port: 514 
Default facility: daemon 
Default status interval: 0 
Host (-h) required if installing.

這時在重新整理Loganalyzer就可以看到相關日誌了.