Como posso receber logs do syslog de um sistema em rede?

Question

Eu gostaria de configurar o Ubuntu para receber logs de um roteador DD-WRT. A tela de configuração do roteador contém a seguinte seção:

e sua documentação de registro diz:

  

Se você deseja enviar logs para um sistema remoto, digite o endereço IP de   essa máquina que também está executando um utilitário syslog (ele precisa de uma   soquete de rede para aceitar logs sendo enviados pelo roteador).

Eu nunca (conscientemente) usei o syslog antes. O que eu preciso fazer no Ubuntu para permitir que ele receba esses logs?

    

Answer 1

O host que recebe os logs precisará estar executando algum daemon syslog configurado para escutar logs remotos. Há várias implementações de syslog no Ubuntu, mas rsyslog é normalmente recomendado e deve ser instalado por padrão. Eu não posso dizer pela documentação no link que você postou se o DD-WRT está enviando logs via TCP ou UDP, então pode exigir alguma experimentação para encontrar precisamente as configurações corretas, se você estiver preocupado com a redução do número de acessos à rede portas no seu host.

Existem duas maneiras de permitir isso: a primeira é mais simples, mas pode exigir a reintegração quando o sistema é atualizado. O segundo é um pouco mais complicado e pode causar resultados confusos se houver alterações significativas na configuração do syslog como parte de uma atualização. Eu escolheria o segundo, mas sua preferência pode variar.

O primeiro é editar /etc/rsyslogd.conf e remover o # inicial das seguintes linhas:

#$ModLoad imudp
#$UDPServerRun 514

ou

#$ModLoad imtcp
#$InputTCPServerRun 514

O segundo é criar um novo arquivo, talvez chamado de local-enable-tcp.conf in /etc/rsyslog.d/ , com o seguinte conteúdo:

# enable TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

Se você quiser usar a abordagem de arquivo separada e precisar do UDP, altere o conteúdo para corresponder à sub-rotina UDP acima. O nome do arquivo específico não é importante, mas recomenda-se iniciá-lo com "local-", pois este namespace é reservado para a configuração do administrador local e deve terminar com ".conf", pois somente os arquivos que terminam assim são automaticamente incluídos no arquivo .conf. configuração do rsyslog.

Se você preferir usar outra implementação de syslog, verifique a configuração e a documentação dessa implementação: é provável que o daemon syslog esteja configurado para não escutar na rede por padrão, mas a configuração de exemplo para ativar esse caso comum deve ser claramente documentada.

    

Answer 2

Outra opção é usar o syslog-ng, fácil de usar e pronto para funcionar!

sudo apt-get install syslog-ng

Depois de instalá-lo, temos um arquivo conf em /etc/syslog-ng/syslog-ng.conf Então, basta editar este arquivo .conf com nossos parâmetros, mas antes disso, fazer um backup do arquivo de configuração padrão, pode ser útil mais tarde se você quiser sintonizar alguns parâmetros

sudo mv /etc/syslog-ng/syslog-ng.conf /etc/syslog-ng/syslog-ng.conf.bak

Agora crie um novo arquivo de configuração e edite-o!

sudo touch /etc/syslog-ng/syslog-ng.conf
sudo nano /etc/syslog-ng/syslog-ng.conf

Então, cole esta configuração básica para trabalhar também:

# Listening to incoming UDP Syslog connections
source mysource { udp(); };

#Add the syslog targets:

destination dest { file("/var/log/Cisco$YEAR$MONTH$R_DAY.log"); };
#destination dest_other_server { udp("1.2.3.4" port(514)); };
#Create the filters that will be used to determine what to do with the received syslog message

#filter filter { ( host("2.3.4.5") and level(notice) and match("username=.*@domain\.local" value("MESSAGE") flags("utf8" "ignore-case")) ); };
filter myfilter { ( level(notice) ); };
#And putting it all together:

log { source(mysource); filter(myfilter); destination(dest);  };

Fácil como você pode ver. Tome cuidado!

    

Answer 3

Basicamente, você executa um daemon (chamado syslogd) em seu servidor para que o roteador dd-wrt ponha logs em.

Tutorial- link