Cara Mengatur Server SysLog Terpusat Pada CentOS 8 / RHEL 8

Hari ini kita akan menyiapkan server syslog terpusat di CentOS 8 / RHEL 8 agar admin Linux dapat membaca beberapa log server di satu tempat.

Linux memberi label (auth, cron, FTP, LPR, authpriv, news, mail, syslog, dll.) pesan log untuk menunjukkan jenis perangkat lunak yang menghasilkan pesan dengan tingkat keparahan (Alert, critical, Warning, Notice, info, dll. ..).

Anda dapat menemukan informasi lebih lanjut tentang Label Pesan dan Tingkat Keparahan

Lingkungan

Dua server Linux ( server dan klien).

server.itzgeek.local 192.168.0.10

client.itzgeek.local 192.168.0.20

Penyiapan server

Instal paket rsyslog di server syslog jika paket tersebut belum ada.

dnf install -y rsyslog

Edit file /etc/rsyslog.conf.

vi /etc/rsyslog.conf

Protokol

Rsyslog mendukung protokol UDP dan TCP untuk menerima log. Terserah Anda untuk memutuskan protokol mana yang ingin Anda gunakan.

Rsyslog menyarankan penggunaan protokol TCP untuk pengiriman log yang andal.

UDP

Batalkan komentar berikut untuk mengaktifkan server syslog untuk mendengarkan pada port UDP.

DARI:

# Provides UDP syslog reception
# for parameters see http://www.rsyslog.com/doc/imudp.html
# module(load="imudp") # needs to be done just once
# input(type="imudp" port="514")

KEPADA:

# Provides UDP syslog reception
# for parameters see http://www.rsyslog.com/doc/imudp.html
module(load="imudp") # needs to be done just once
input(type="imudp" port="514")

TCP

Batalkan komentar berikut untuk mengaktifkan server syslog untuk mendengarkan pada port TCP.

DARI:

# Provides TCP syslog reception
# for parameters see http://www.rsyslog.com/doc/imtcp.html
#module(load="imtcp") # needs to be done just once
#input(type="imtcp" port="514")

KEPADA:

# Provides TCP syslog reception
# for parameters see http://www.rsyslog.com/doc/imtcp.html
module(load="imtcp") # needs to be done just once
input(type="imtcp" port="514")

Mulai ulang layanan syslog

systemctl restart rsyslog

Verifikasi server syslog mendengarkan pada port 514.

netstat -antup | grep 514

Keluaran:

udp        0      0 0.0.0.0:514             0.0.0.0:*                           30918/rsyslogd      
udp6       0      0 :::514                  :::*                                30918/rsyslogd    

Penyiapan klien

Instal paket rsyslog pada klien jika paket tersebut belum ada.

dnf install -y rsyslog

Edit file /etc/rsyslog.conf.

vi /etc/rsyslog.conf

Di akhir file, tempatkan baris berikut untuk meneruskan pesan log klien ke server syslog terpusat.

UDP:

action(type="omfwd" Target="192.168.0.10" Port="514" Protocol="udp")

TCP:

action(type="omfwd" Target="192.168.0.10" Port="514" Protocol="tcp")

Anda juga dapat menggunakan nama host di Target.

Mulai ulang layanan syslog

systemctl restart rsyslog

Sekarang semua log pesan dikirim ke server pusat dan juga menyimpan salinannya secara lokal.

Firewall

Jika sistem memiliki FirewallD, jalankan perintah berikut di server syslog untuk menerima lalu lintas masuk pada port 514.

UDP:

firewall-cmd --permanent --add-port=514/udp

 firewall-cmd --reload

TCP:

firewall-cmd --permanent --add-port=514/tcp

firewall-cmd --reload

Validasi

Buka server syslog dan lihat file log pesan.

tail -f /var/log/messages

Saya telah menginstal dan memulai vsftpd pada mesin klien, Anda dapat melihat keduanya direkam di server syslog.

Jan 31 03:21:07 client systemd[1]: Stopping System Logging Service...
Jan 31 03:21:08 client rsyslogd[30944]: [origin software="rsyslogd" swVersion="8.37.0-13.el8" x-pid="30944" x-info="http://www.rsyslog.com"] exiting on signal 15.
Jan 31 03:21:08 client systemd[1]: Stopped System Logging Service.
Jan 31 03:21:08 client systemd[1]: Starting System Logging Service...
Jan 31 03:21:08 client rsyslogd[30952]: environment variable TZ is not set, auto correcting this to TZ=/etc/localtime  [v8.37.0-13.el8 try http://www.rsyslog.com/e/2442 ]
Jan 31 03:21:08 client systemd[1]: Started System Logging Service.
Jan 31 03:21:08 client rsyslogd[30952]: [origin software="rsyslogd" swVersion="8.37.0-13.el8" x-pid="30952" x-info="http://www.rsyslog.com"] start

Kesimpulan

Itu saja. Saya harap Anda berhasil menyiapkan server syslog terpusat di CentOS 8 / RHEL 8. Anda juga dapat menggunakan alat manajemen log sumber terbuka seperti ELK stack atau Graylog untuk fitur yang lebih canggih seperti antarmuka web, peristiwa log yang terkait, dll.