Cómo configurar el servidor SysLog centralizado en CentOS 8 / RHEL 8

Hoy configuraremos un servidor syslog centralizado en CentOS 8/RHEL 8 para permitir que el administrador de Linux lea varios registros del servidor en un solo lugar.

Linux etiqueta (auth, cron, FTP, LPR, authpriv, news, mail, syslog, etc.) los mensajes de registro para indicar el tipo de software que generó los mensajes con gravedad (Alerta, crítica, Advertencia, Aviso, información, etc.) ..).

Puede encontrar más información sobre las etiquetas de mensajes y los niveles de gravedad

Medio ambiente

Dos servidores Linux (servidor y cliente).

servidor.itzgeek.local 192.168.0.10

cliente.itzgeek.local 192.168.0.20

Configuración del servidor

Instale el paquete rsyslog en el servidor syslog en caso de que el paquete aún no exista.

dnf install -y rsyslog

Edite el archivo /etc/rsyslog.conf.

vi /etc/rsyslog.conf

Protocolo

Rsyslog es compatible con los protocolos UDP y TCP para recibir registros. Depende de usted decidir qué protocolo desea utilizar.

Rsyslog sugiere el uso del protocolo TCP para una entrega de registros confiable.

UDP

Descomente lo siguiente para permitir que el servidor syslog escuche en el puerto UDP.

DE:

# Provides UDP syslog reception
# for parameters see http://www.rsyslog.com/doc/imudp.html
# module(load="imudp") # needs to be done just once
# input(type="imudp" port="514")

PARA:

# Provides UDP syslog reception
# for parameters see http://www.rsyslog.com/doc/imudp.html
module(load="imudp") # needs to be done just once
input(type="imudp" port="514")

TCP

Descomente lo siguiente para permitir que el servidor syslog escuche en el puerto TCP.

DE:

# Provides TCP syslog reception
# for parameters see http://www.rsyslog.com/doc/imtcp.html
#module(load="imtcp") # needs to be done just once
#input(type="imtcp" port="514")

PARA:

# Provides TCP syslog reception
# for parameters see http://www.rsyslog.com/doc/imtcp.html
module(load="imtcp") # needs to be done just once
input(type="imtcp" port="514")

Reinicie el servicio syslog

systemctl restart rsyslog

Verifique el servidor syslog escuchando en el puerto 514.

netstat -antup | grep 514

Salida:

udp        0      0 0.0.0.0:514             0.0.0.0:*                           30918/rsyslogd      
udp6       0      0 :::514                  :::*                                30918/rsyslogd    

Configuración del cliente

Instale el paquete rsyslog en el cliente en caso de que el paquete aún no exista.

dnf install -y rsyslog

Edite el archivo /etc/rsyslog.conf.

vi /etc/rsyslog.conf

Al final del archivo, coloque la siguiente línea para reenviar los mensajes de registro del cliente al servidor syslog centralizado.

UDP:

action(type="omfwd" Target="192.168.0.10" Port="514" Protocol="udp")

TCP:

action(type="omfwd" Target="192.168.0.10" Port="514" Protocol="tcp")

También puede usar el nombre de host en Target.

Reinicie el servicio syslog

systemctl restart rsyslog

Ahora todos los registros de mensajes se envían al servidor central y también guarda la copia localmente.

Cortafuegos

Si el sistema tiene FirewallD, ejecute el siguiente comando en el servidor syslog para aceptar el tráfico entrante en el puerto 514.

UDP:

firewall-cmd --permanent --add-port=514/udp

 firewall-cmd --reload

TCP:

firewall-cmd --permanent --add-port=514/tcp

firewall-cmd --reload

Validar

Vaya al servidor syslog y vea el archivo de registro de mensajes.

tail -f /var/log/messages

Instalé e inicié vsftpd en la máquina cliente, puede ver que ambos están registrados en un servidor syslog.

Jan 31 03:21:07 client systemd[1]: Stopping System Logging Service...
Jan 31 03:21:08 client rsyslogd[30944]: [origin software="rsyslogd" swVersion="8.37.0-13.el8" x-pid="30944" x-info="http://www.rsyslog.com"] exiting on signal 15.
Jan 31 03:21:08 client systemd[1]: Stopped System Logging Service.
Jan 31 03:21:08 client systemd[1]: Starting System Logging Service...
Jan 31 03:21:08 client rsyslogd[30952]: environment variable TZ is not set, auto correcting this to TZ=/etc/localtime  [v8.37.0-13.el8 try http://www.rsyslog.com/e/2442 ]
Jan 31 03:21:08 client systemd[1]: Started System Logging Service.
Jan 31 03:21:08 client rsyslogd[30952]: [origin software="rsyslogd" swVersion="8.37.0-13.el8" x-pid="30952" x-info="http://www.rsyslog.com"] start

Conclusión

Eso es todo. Espero que haya configurado con éxito un servidor syslog centralizado en CentOS 8/RHEL 8. También puede usar herramientas de administración de registros de código abierto como ELK stack o Graylog para funciones más avanzadas como la interfaz web, la correlación de eventos de registro, etc.