Просмотр исходного текста страницы Настройка сервера rsyslog для хранения лог-файлов подключенных хостов

==Введение==
<b>Rsyslog</b> позволяет настроить отправку событий операционной системы для определенного приложения на централизованный сервер. 
Использование сервера <b>rsyslog</b> позволяет организовать единую систему хранение лог-файлов из различных систем поддерживающих протокол <b>syslog</b>. Данных подход позволяет упростить контроль и анализ событий на подключенных системах.
Настройка rsyslog под различных дистрибутивы Linux имеет минимальные отличия. В данной инструкции рассмотрим настройку <b>rsyslog</b> под <b>AlterOS</b>.

==Предварительная настройка сервера==
===Синхронизация времени===
Для синхронизации времени настроим <b>chrony</b>. В начале установим наш часовой пояс, для этого выполним команду чтобы вывести список часовых поясов и выбрать нужный:
  $ timedatectl list-timezones
Для установки часового пояса используем команду:
  $ timedatectl set-timezone <часовой пояс из списка выше>
Устанавливаем <b>chrony</b>:
  $ yum install chrony
Включим сервис командой:
  $ systemctl enable chronyd
Запустим сервис командой:
  $ systemctl start chronyd
===Настройка фаерволла===
Если на сервере будет использоваться межсетевой экран, то необходимо разрешить подключение для определенного порта:

Для <b>firewelld</b>:
  $ firewall-cmd --permanent --add-port=514/{tcp,udp}

Перечитываем конфигурацию командой:
  $firewall-cmd --reload

Для  <b>iptables</b>:
  $ iptables -A INPUT -p tcp --dport 514 -j ACCEPT
  $ iptables -A INPUT -p udp --dport 514 -j ACCEPT

* Конфигурация фаервола может быть иной, разрешающей подключение с определенных адресов.

===SELinux===
Если в операционной системе используется <b>SELinux</b>, то необходимо его отключить (нерекомендуется) или добавить следующие правила соответствующие портам в конфигурации rsyslog:

  $ semanage port -m -t syslogd_port_t -p tcp 514
  $ semanage port -m -t syslogd_port_t -p udp 514

==Установка и настройка серверной части rsyslog==
Установка серверной части производится командой:
  $ yum install rsyslog

Разрешаем сервис и включаем автостарт:
  $ systemctl enable rsyslog

Запускаем сервис: 
  $ systemctl start rsyslog

Для первоначальной настройки необходимо раскоментировать в файле <b>/etc/rsyslog.conf</b> следующие строки:
Для работы по <b>UDP</b>:
  $$ModLoad imudp
  $UDPServerRun 514

Для работы по <b>TCP</b>:
  $ModLoad imtcp
  $InputTCPServerRun 514

*Можно использовать оба протокола UDP и TCP или оставить только какой-то один: более быстрый и менее безопасный UDP или более безопасный, но менее быстрый TCP.

В секции RULES описан механизм сохранения полученных данных в зависимости от их критерия. Если требуется изменить уровни и критерии получения и сохранения, то их можно изменить по собственному усмотрению.
После внесения изменений перезапускаем службу командой:
  $ systemctl restart rsyslog

На этом работа на стороне серверной части завершена.
  
==Установка и настройка клиентской части rsyslog==
Установка клиентской части производится командой:
  $ yum install rsyslog

Разрешаем сервис и включаем автостарт:
  $ systemctl enable rsyslog

Запускаем сервис: 
  $ systemctl start rsyslog

Настройка службы производится конфигурированием файла <b>/etc/rsyslog.conf</b>:

  $ nano /etc/rsyslog.conf

В конце файла дописываем необходимую нам конфигурацию для отправки только определенных событий на сервер:

В случае использования TCP:
  *.info;mail.none;authpriv.none;cron.none @[ip-адрес сервера]:514

В случае использование UDP:
  *.info;mail.none;authpriv.none;cron.none @@[ip-адрес сервера]:514

*Уровень логгирования установим на <b>info</b> для всех событий. Приставка <b>none</b> нужна для запрета отправки соответствующих событий.
Например, для отправки всех событий по протоколу UDP необходимо указать в конфигурации следующее значение:
  *.* @@[ip-адрес сервера]:514

Перезапустим сервис командой:

 $ systemctl restart rsyslog

==Описание возможных критериев для лог-файлов==

{| class="wikitable"
|+ Таблица 1. Критерии лог-файлов.
|-
! Категория	 !! Описание 
|-
! 0 | kern || Сообщения, отправляемые ядром 
|-
! 1 | user || Пользовательские программы 
|-
! 2 | mail || Почта 
|-
! 3 | daemon || Сервисы (демоны) 
|-
! 4 | auth || Безопасность/вход в систему/аутентификация 
|-
! 5 | syslog || Сообщения от syslog 
|-
! 6 | lpr || Логи печати 
|-
! 7 | news || Новостные группы (usenet) 
|-
! 8 | uucp || Unix-to-Unix CoPy (копирование файлов между компьютерами) 
|-
! 9 | cron || Планировщик заданий 
|-
! 10 | authpriv || Безопасность/вход в систему/аутентификация - защищенный режим 
|-
! 11 | ftp || Логи при передачи данных по FTP 
|-
! 12 | ntp || Логи службы синхронизации времени (существует не везде) 
|-
! 13 | security, log audit || Журнал аудита (существует не везде) 
|-
! 14 | console, log alert || Сообщения, отправляемые в консоль (существует не везде) 
|-
! 15 | solaris-cron, clock daemon || Cron в solaris (существует не везде) 
|-
! 16 | local0 - local7 || Зарезервированы для локального использования. Уровень серьезности определяется числом от 0 до 7. 
|-
|}


==Описание возможных категорий/уровней для логгирования==

{| class="wikitable"
|+ Таблица 2. Уровни логгирования.
|-
! Уровень	 !! Расшифровка 
|-
! 0 | emerg || Система не работает (PANIC) 
|-
! 1 | alert || Серьезная проблема, требующая внимания 
|-
! 2 | crit || Критическая ошибка 
|-
! 3 | err || Ошибка (ERROR) 
|-
! 4 | warning || Предупреждение (WARN) 
|-
! 5 | notice || Важное информационное сообщение 
|-
! 6 | info || Информационное сообщение 
|-
! 7 | debug || Отладочная информация 
|-
|}