File log sangat penting dalam menyelidik dan memecahkan masalah kesalahan. Mereka adalah file pertama yang diperiksa oleh administrator sistem untuk mempersempit kemungkinan penyebab kesalahan dan dengan demikian, menghasilkan resolusi untuk menyelesaikan masalah. Dalam infrastruktur dengan puluhan atau ratusan server, dan perangkat lain, mengelola file log dapat menjadi suatu tantangan. Dan di sinilah rsyslog masuk.
Rsyslog adalah program logging opensource yang memfasilitasi penerusan file log ke server log terpusat di jaringan IP. Dengan logging terpusat, administrator dapat dengan mudah mengawasi file log dari beberapa sistem dari titik pusat. Dalam posting ini, kami akan memandu Anda melalui instalasi dan konfigurasi Server Rsyslog di Debian 11.
Penyiapan Lab
Untuk mendemonstrasikan bagaimana Rsyslog dapat digunakan untuk mengirim file log dari sistem klien ke server Rsyslog, kita akan memiliki penyiapan Lab sederhana seperti yang ditunjukkan
- Server Rsyslog: Debian 11 IP:192.168.1.151
- Klien Rsyslog: Ubuntu 20.04 IP:10.20.0.170
Langkah 1) Konfigurasi Rsyslog di server
Seperti disebutkan sebelumnya, Rsyslog bekerja dalam model client-server dan kita akan memulai dengan mengkonfigurasi Rsyslog di server Debian 11. Pada Debian 11, Rsyslog terinstal secara default. Jika karena alasan tertentu Rsyslog tidak ada, Anda dapat menginstalnya menggunakan perintah:
$ sudo apt install -y rsyslog
Setelah instalasi, Anda dapat memeriksa status berjalannya sebagai berikut:
$ sudo systemctl status rsyslog
Selanjutnya, kita akan mengkonfigurasi rsyslog untuk berjalan dalam mode server. File konfigurasi adalah file /etc/rsyslog.conf. Jadi, edit menggunakan editor teks pilihan Anda.
$ sudo vi /etc/rsyslog.conf
Lanjutkan dan batalkan komentar pada baris berikut yang memungkinkan penerimaan syslog UDP dan TCP dari klien jarak jauh.
# provides UDP syslog reception module(load="imudp") input(type="imudp" port="514") # provides TCP syslog reception module(load="imtcp") input(type="imtcp" port="514")
Setelah itu, tempel baris berikut untuk menentukan template yang akan digunakan daemon Rsyslog untuk menyimpan log masuk dari sistem klien.
$template remote-incoming-logs,"/var/log/%HOSTNAME%/%PROGRAMNAME%.log" *.* ?remote-incoming-logs
File log akan menggunakan konvensi penamaan berikut:
- /%HOSTNAME%/ – Ini adalah nama host dari sistem klien.
- /%PROGRAMNAME%/ – Ini mengidentifikasi program klien yang membuat file log.
Untuk menerapkan perubahan, mulai ulang daemon rsyslog.
$ sudo systemctl restart rsyslog
Secara default, rsyslog mendengarkan port 514. Anda dapat mengonfirmasi bahwa ini adalah port yang didengarkan daemon rsyslog dengan menjalankan perintah ss.
$ sudo ss -tunlp | grep 514
Langkah 2) Konfigurasikan aturan firewall untuk rsyslog
Daemon Rsyslog berjalan di server seperti yang diharapkan. Jika Anda menjalankan firewall UFW, pastikan untuk mengizinkan port 514 untuk mengizinkan pesan log masuk.
$ sudo ufw allow 514/tcp $ sudo ufw allow 514/udp
Kemudian muat ulang firewall untuk menerapkan aturan firewall sebagai berikut.
$ sudo ufw reload
Langkah selanjutnya adalah mengkonfigurasi sistem Ubuntu klien untuk mengirim file log ke server rsyslog.
Langkah 3) Konfigurasikan sistem klien rsyslog
Langkah terakhir adalah mengkonfigurasi sistem klien untuk mengirim file log ke server rsyslog. Login ke klien dan sekali lagi, pastikan daemon rsyslog telah terinstal dan berjalan.
Selanjutnya, edit file konfigurasi rsyslog.
$ sudo vi /etc/rsyslog.conf
Arahkan ke bagian paling akhir file dan tambahkan baris ini.
#Enable sending system logs over UDP to rsyslog server *.* @rsyslog-ip-address:514 #Enable sending system logs over TCP to rsyslog server *.* @@rsyslog-ip-address:514
Baris ini menginstruksikan klien untuk mengirim file log melalui protokol UDP dan TCP ke server rsyslog. Perhatikan bahwa baris pertama memiliki satu simbol @ yang menandakan UDP dan baris kedua memiliki dua simbol @@ untuk menandakan protokol TCP.
Jika server jauh mengalami downtime dan Anda ingin mempertahankan log, Anda dapat mengatur buffer antrian disk dengan menambahkan baris yang ditampilkan.
##Setel antrian disk ketika server rsyslog akan mati:
$ActionQueueFileName queue $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1
Di bawah ini adalah ringkasan dari semua modifikasi pada konfigurasi klien.
Simpan dan keluar dari file. Sekarang restart layanan rsyslog agar perubahan diterapkan.
$ sudo systemctl restart rsyslog
Pada titik ini, sistem klien harus mengirim file log ke server rsyslog. Mari kembali ke server dan mencari tahu.
Langkah 4) Lihat file log Klien
Semua file log (termasuk server) disimpan di direktori /var/log/. Untuk melihat log klien, jalankan perintah berikut:
$ ls /var/log/
File log klien akan disimpan dalam direktori yang sesuai dengan nama host sistem klien seperti yang ditunjukkan di bawah ini.
Anda selanjutnya dapat melihat file log yang terdapat dalam direktori log utama.
$ sudo ls -l /var/log/ubuntu-20-04/
Untuk melihat log secara real-time, gunakan perintah tail seperti yang ditunjukkan. Di sini, kami melihat log pengguna sudo.
$ sudo tail -f /var/log/ubuntu-20-04/sudo.log
Kami telah berhasil menginstal rsyslog dan mengonfigurasinya untuk memungkinkan pengiriman file log ke server rsyslog dari sistem klien. Sekarang Anda dapat mengonfigurasi sistem klien sebanyak yang Anda inginkan untuk mengirim log ke server rsyslog untuk mencapai struktur manajemen log terpusat.
Itu saja dari posting ini, saya harap Anda telah menemukannya informatif. Silakan bagikan pertanyaan dan umpan balik Anda di bagian komentar di bawah.
Baca Juga :Cara Memutar dan Mengompresi File Log di Linux dengan Logrotate