Linux日志服务器配置

配置日志服务器
环境：
tibet：10.11.3.57
gaplinux（日志服务器）：10.11.3.3
修改tibet上的/etc/hosts，增加如下代码：
10.11.3.3       gaplinux.ufrdomain      gaplinux


tibet服务配置如下：
1. 配置tibet的syslog.conf
修改tibet服务器的syslog的配置文件/etc/syslog.conf, 告诉syslogd进程
传输本系统的日志信息到日志服务器上.

[root@tibet /]# vi /etc/syslog.conf

添加下面的代码到syslog.conf中:
*.*    @gaplinux.ufrdomain

2. 在tibet服务器上重启syslogd

[root@tibet /]# /etc/rc.d/init.d/syslog restart

3. 配置tibet机器的防火墙

添加允许从tibet的514端口传输udp封包到日志服务器的防火墙策略.

端口514用于syslog程序.
查看程序运行情况
[root@tibet /]# cat /etc/services|grep 514/udp
syslog 514/udp

[root@tibet /]# /usr/sbin/lsof -i:514
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
syslogd 18014 root 10u IPv4 131882 UDP *:syslog

gaplinux日志服务器配置如下：

1、启动syslogd服务
现在已经设置了允许tibet服务器发送日志信息到日志服务器gaolinux. 接下来设置日志服务器能从tibet服务器接受日志文件信息.
停止syslog服务
[root@gaplinux /]# /etc/rc.d/init.d/syslog stop

现在syslog进程已经终止, 我们需要重新启动syslog并启动
syslog的"远程接受(remote reception)"功能.

[root@gaplinux /]# /sbin/syslogd -rm 0
[root@gaplinux /]# /etc/rc.d/init.d/syslog start

2. 确认日志服务器的syslog进程正确配置
检查/var/log/messages日志文件确认syslogd已重启
[root@gaplinux /]# tail -f /var/log/messages

在文件的最下面你能看见:
Dec  6 18:00:31 gaplinux syslogd 1.4.1: restart (remote reception).

这样syslogd已经工作了.

3. 防火墙配置

在gaplinux日志服务器上添加防火墙策略, 允许来自tibet服务器514端口的
udp数据传输到gaplinux上.

[root@gaplinux]# /sbin/iptables -A INPUT -p udp -i eth0 -s 10.11.3.57 -d 10.11.3.3 --sport 514 -j ACCEPT

[root@gaplinux]# /sbin/iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT udp -- 10.11.3.57 10.11.3.3 udp spt:syslog
.....


测试

从tibet上登录退出，然后检查gaplinux上的日志文件/var/log/messages或者/var/log/secure)
, 可以看到下面的记录:
Dec  6 18:06:22 10.11.3.57  -- gap[8208]: LOGIN ON pts/0 BY gap FROM 10.11.3.28

测试完毕.