rsyslog日志服务部署

rsyslog简介

rsyslog是CentOS6和CentOS7默认的记录日志的服务

支持特性：

• UDP, TCP, SSL, TLS, RELP
• MySQL, PGSQL, Oracle实现日志存储
• 强大的过滤器，可实现过滤记录日志信息中任意部分
• 自定义输出格式

 

常见术语：

• facility：设施，从功能或程序上对日志进行归类：

auth, authpriv, cron, daemon,ftp,kern, lpr, mail, news, security(auth), user, uucp, local0-local7, syslog

• Priority 优先级别，从低到高排序：

debug, info, notice, warn(warning), err(error), crit(critical), alert, emerg(panic)

 

配置文件格式：

    /etc/rsyslog.conf 配置文件由三部分组成

• MODULES：相关模块配置
• GLOBAL DIRECTIVES：全局配置
• RULES：日志记录相关的规则配置

 

RULES设置方式：

• facility：

*: 所有的facility
facility1,facility2,facility3,...：指定的facility列表

• priority：

*: 所有级别
none：没有级别，即不记录
PRIORITY：指定级别（含）以上的所有级别
=PRIORITY：仅记录指定级别的日志信息

• target：

文件路径：通常在/var/log/，文件路径前的-表示异步写入
用户：将日志事件通知给指定的用户，* 表示登录的所有用户
日志服务器：@host，把日志送往至指定的远程服务器记录
管道： | COMMAND，转发给其它命令处理

启动网络日志服务：

    可以把开启自己的网络服务模式，把其他主机的日志保存到本机，相当于日志服务器的功能。

• 通常的日志格式：

事件产生的日期时间 主机 进程(pid)：事件内容
如： /var/log/messages,cron,secure等

• 配置rsyslog成为日志服务器

#### MODULES ####         在MODULES模块下把对应的配置注释取消即可
# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514
# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

常用的日志说明：

• /var/log/secure：系统安装日志，文本格式，应周期性分析
• /var/log/btmp：当前系统上，用户的失败尝试登录相关的日志信息，二进制格式，lastb命令进行查看
• /var/log/wtmp：当前系统上，用户正常登录系统的相关日志信息，二进制格式，last命令可以查看
• /var/log/lastlog:每一个用户最近一次的登录信息，二进制格式，lastlog命令可以查看
• /var/log/dmesg：系统引导过程中的日志信息，文本格式。可以通过文本查看工具查看，也可以通过专用命令dmesg查看
• /var/log/messages ：系统中大部分的信息
• /var/log/anaconda : anaconda的日志

rsyslog设置举例

我们知道sshd的默认日志是保存在/var/log/secure的

# 查看sshd的默认配置

# cat /etc/ssh/sshd_config

SyslogFacility AUTHPRIV    # 默认是保存在AUTHPRIV设施里的

 

# 查看rsyslog配置

# cat /etc/rsyslog.conf

authpriv.* /var/log/secure    # 可以看到authpriv设施下的所有级别的日志都保存到/var/log/secure中

这里我们设置把sshd的日志保存到一个没占用的设施local0中，并将local0的所有日志保存到/var/log/ssh文件中

1、修改sshd配置

# vim /etc/ssh/sshd_config

SyslogFacility local0

2、修改rsyslog配置
#vim /etc/rsyslog.conf 
在文挡最后新增如下行
local0.*      

/var/log/ssh

3、启rsyslog和sshd服务
# systemctl restart rsyslog sshd

4、查看新生成的日志文件

#cat /var/log/ssh

rsyslog将日志记录在mysql中

1、安装mariadb和rsyslog-mysql程序包

# yum install mariadb-server rsyslog-mysql

 

2、创建rsyslog-mysql依赖的数据库

# rpm -ql rsyslog-mysql /usr/lib64/rsyslog/ommysql.so /usr/share/doc/rsyslog-8.24.0/mysql-createDB.sql

# systemctl start mariadb

# msyql < /usr/share/doc/rsyslog-8.24.0/mysql-createDB.sql

 

3、创建用户，授权对Syslog数据库的全部访问权限

mysql> GRANT ALL ON Syslog.* TO 'wangq'@'172.16.%' IDENTIFIED BY '123456';

 

4、修改rsyslog配置

# vim /etc/rsyslog.conf

新增下面配置注意配置mysql的格式 :ommysql:DBHOST,DBNAME,DBUSER,PASSWORD

$ModLoad ommysql

*.info;mail.none;authpriv.none;cron.none    :ommysql:172.16.100.215,Syslog,wangqiang,123456

 

5、重启服务 # systemctl restart rsyslog

web显示rsyslog日志

安装开源loganalyzer，通过web查看mysql存储的日志

1、配置LAMP

# yum install httpd php php-mysql php-gd # service httpd start

 

2、网上下载 loganalyzer-4.1.7.tar.gz

# tar xf loganalyzer-4.1.7.tar.gz

# cd loganalyzer-4.1.7

# cp src /var/www/html

# cd /var/www/html

# mv src log

# cd log

# touch config.php

# chmod 666 config.php

 

3、登录web页面（http://x.x.x.x）配置loganalyzer，然后把权限改回664

# chmod 644 config.php