Etäkirjauksen määrittäminen Linuxissa rsyslogin avulla

Kirjautuminen on kriittinen osa Linux-palvelinhallintaa. Lokiviestit ovat hyödyllisiä perussyyanalyysiin ja mahdollisten virheiden välttämiseen tulevaisuudessa. Palvelinvirheiden analysointi ja virheenkorjaus on sekä IT-insinöörien että järjestelmänvalvojien ydintaito.

Tämä opas näyttää, kuinka etälokipalvelin, joka tunnetaan myös nimellä lokipalvelin, määritetään Linuxissa. Loki-isäntä mahdollistaa paikallisten Linux-lokien yhdistämisen keskitettyyn etäpalvelimeen käytön ja analyysin helpottamiseksi.

Miksi sinulla on oma lokipalvelin?

Linux-käyttöjärjestelmä kirjaa useimmat palvelimesi toiminnot tarkastusta ja virheenkorjausta varten syslog (järjestelmän lokiprotokolla) -daemonin avulla. Joten saatat ihmetellä, miksi tarvitsen erillisen palvelimen lokeilleni? Tässä on joitain etuja erillisen lokipalvelimen omistamisesta:

• Parempi suojaus, koska etälokipalvelimessa on vain muutama portti auki.
• Parempi palvelimen suorituskyky, koska etäkirjausisäntä ei suorita monia palveluita lukuun ottamatta niitä, joita käytetään kirjaamiseen.
• Helpottaa lokiviestien arkistointia ja hallintaa.

Lokiviestit ovat tärkeitä palvelimien ja perusasetuksen tarkastuksen kannalta, ja ne ovat keskeinen osa palvelininfrastruktuurisi ennaltaehkäiseviä ylläpitotoimenpiteitä.

Vaihe 1: Asenna rsyslog Linuxiin

Tämä opas keskittyy Ubuntu 20.04:ään, mutta prosessin pitäisi olla melko sama, jos käytät muita tavanomaisia ​​Linux-distroja.

rsyslog on etälokipalvelu Linuxille, ja se on esiasennettu oletusarvoisesti useimpiin nykyaikaisiin Linux-distroihin, esimerkiksi Ubuntuun ja muihin Debian-pohjaisiin järjestelmiin.

rsyslog-palvelu on nykyaikainen ja parannettu daemon syslogille, jonka avulla voit hallita lokeja vain paikallisesti. Rsyslog-daemonin avulla voit lähettää paikalliset lokit jollekin määritettyyn Linux-etäpalvelimeen.

Jos tietokoneellesi ei ole asennettu rsyslogia, voit tehdä sen helposti seuraavalla komennolla Debian-pohjaisissa distroissa:

sudo apt install rsyslog

Red Hat Linuxissa voit asentaa sen kirjoittamalla:

yum asenna rsyslog

Suorita Fedorassa ja sen johdannaisissa:

dnf asentaa rsyslog

Rsyslogin asentaminen Arch Linuxiin:

joo -S rsyslog

Tarkistaaksesi rsyslogin tilan, suorita seuraava komento:

systemctl status rsyslog

Lähtö:

Vaihe 2: Loki-isäntäpalvelimen määrittäminen

Lokipalvelin on palvelin, joka on määritetty vastaanottamaan lokiviestejä muilta palvelimilta tai tietokoneilta. Rsyslog-määritys sijaitsee /etc/rsyslog.conf tiedosto.

Voit avata /etc/rsyslog.conf tiedostoa käyttämällä mikä tahansa valitsemasi tekstieditori. Tässä oppaassa käytämme Vimia.

Tarvitset korotetut oikeudet tehdäksesi muutoksia asetustiedostoon.

Ennen kuin aloitat konfigurointitiedoston muokkaamisen, sinun tulee ottaa tiedostosta varmuuskopio tai kopio. Voit tehdä tämän suorittamalla komennon:

sudo cp /etc/rsyslog.conf /etc/rsyslog_original.config

Avaa seuraavaksi /etc/rsyslog.conf tiedosto tekstieditorilla.

sudo vim /etc/rsyslog.conf 

Voit käyttää lokitiedostojen lähettämiseen/vastaanottamiseen rsyslogilla kahta protokollaa: TCP ja UDP. Tämä opas näyttää, kuinka voit määrittää molemmat.

Sinun ei tarvitse määrittää sekä UDP: tä että TCP: tä, jotta etäkirjaus toimisi. Valitse vain toinen kahdesta.

Jos haluat käyttää UDP: tä, etsi seuraavat rivit ja poista kommentit poistamalla rivi Punta (#) -symboli ennen rivejä. Löydät nämä rivit asetustiedoston moduulit-osiosta.

moduuli (load="imudp")
tulo (type="imudp" port="514")

Jos käytät mieluummin TCP: tä, poista seuraavat rivit poistamalla rivit Punta (#) symboli rivien alussa:

moduuli (load="imtcp")
tulo (type="imtcp" port="514")

Seuraavassa kuvassa näkyy rsyslog-määritystiedosto, joka on määritetty käyttämään UDP-tietoliikennettä:

Määritä seuraavaksi sijainti, johon rsyslog tallentaa lokit. Järjestämisen parantamiseksi sinun tulee luokitella saapuvat lokit niiden alkuperän mukaan. Määritä malli rsyslog-määritystiedostoon lisäämällä seuraavat rivit:

$template remote-incoming-logs, "/var/log/remote/%HOSTNAME%".log
*.* ?etä-saapuvat lokit

Edellä mainitut rivit käskevät rsyslogin tallentamaan lokit kansioon /var/log/remote/hostname, missä isäntänimi on sen etäasiakkaan nimi, joka lähettää lokiviestejä loki-isännälle.

Tallenna nyt tekemäsi muutokset. Jos käytät Vimia, Näin tallennat ja lopetat tiedoston.

Käynnistä lopuksi rsyslog-palvelut uudelleen, jotta tekemäsi muutokset tulevat voimaan.

sudo systemctl käynnistä rsyslog uudelleen

Vaihe 3: Palomuurin määrittäminen

Jos palomuurisi on käytössä, varmista, että yllä määrittämäsi portti pystyy kommunikoimaan ulkomaailman kanssa. Sinun on muokattava palomuurisääntöjäsi salliaksesi saapuvat lokit.

Debian-pohjaisissa distroissa voit käyttää UFW-työkalua joko UDP- tai TCP-siirtoprotokollan käyttöön ottamiseksi.

Aiheeseen liittyvä: Kuinka määrittää palomuuri Ubuntussa UFW: n avulla

Jos käytät UDP: tä, suorita seuraava komento, jossa 514 on määritetty portin numero:

sudo ufw 514/udp

Jos käytät TCP: tä portissa 514, suorita:

sudo ufw 514/tcp

Fedorassa voit käyttää palomuuri-cmd samanlaisten tulosten saavuttamiseksi.

firewall-cmd --zone=zone --add-port=514/udp

Jos käytössäsi on Red Hat Linux, avaa iptables tiedosto, joka sijaitsee osoitteessa /etc/sysconfig/iptables käyttämällä valitsemaasi tekstieditoria ja lisää seuraava sääntö:

-A TULO -m tila -tila UUSI -m udp -p udp --dport 514 -j HYVÄKSY

Käynnistä iptables-palvelu uudelleen, jotta muutokset tulevat voimaan.

palvelu iptables käynnistyy uudelleen

Vaihe 4: Lokiasiakkaan määrittäminen

Asiakas on kone, joka lähettää lokinsa etä- tai keskitettyyn loki-isäntäpalvelimeen. Avaa rsyslog-määritystiedosto, joka sijaitsee osoitteessa /etc/rsyslog.conf:

sudo vim /etc/rsyslog.conf

Lisää seuraava rivi, jos käytät UDP: tä, missä 192.168.12.123 on etäpalvelimen IP-osoite, kirjoitat lokit osoitteeseen:

*.* @192.168.12.123:514

Jos käytät TCP: tä, lisää sen sijaan seuraava rivi. Huomaa, että rivillä on kaksi @ symboleja.

*.* @@192.168.12.123:514

Tallenna muutokset ja käynnistä rsyslog-palvelu uudelleen asiakkaalla komennolla:

sudo systemctl käynnistä rsyslog uudelleen

Vaihe 5: Lokiviestien tarkasteleminen palvelimella

SSH: n avulla voit kirjautua sisään etäpalvelimellesi ja tarkastella asiakaspalvelimien lähettämiä lokeja. Tässä tapauksessa rsyslog on määritetty niin, että se tallentaa asiakaslokit /var/log/remote etäpalvelimen hakemistosta.

cd /var/logs/remote

Listaa sitten hakemiston sisältö käyttämällä ls-komento:

ls -l

Kuten tulosteesta näkyy, hakemisto sisältää lokiviestejä nimetyille etäpalvelimille andiwa ja rukuru. Heidän lokitiedostonsa on nimetty andiwa.log ja rukuru.log vastaavasti.

Voit sitten tarkastella lokitiedostoja tekstieditorilla tai käyttämällä Linux-tiedostojen katselutyökalut kuten kissa tai vähemmän.

Etäkirjaus antaa sinulle enemmän hallintaa

Tässä oppaassa on tarkasteltu etälokipalvelimen (lokipalvelimen) määrittämistä Linuxissa.

Lokiisäntä tarjoaa sinulle paremman organisoinnin ja hallinnan kirjaamisen suhteen. Jopa skenaarioissa, joissa järjestelmä on vaurioitunut tai siihen ei pääse käsiksi, voit silti tarkastella sen lokeja loki-isännästä ja selvittää, mikä meni pieleen.

Järjestelmän kirjaamisen aloittaminen Linuxissa

Lue Seuraava

Kirjailijasta