Πώς να ρυθμίσετε την απομακρυσμένη καταγραφή σε Linux χρησιμοποιώντας το rsyslog

Η καταγραφή είναι μια κρίσιμη πτυχή της διαχείρισης διακομιστή Linux. Τα μηνύματα καταγραφής είναι χρήσιμα για την ανάλυση της βασικής αιτίας και την αποφυγή πιθανών εμφανίσεων σφαλμάτων στο μέλλον. Η ανάλυση και ο εντοπισμός σφαλμάτων διακομιστή είναι μια βασική ικανότητα που πρέπει να έχουν τόσο οι μηχανικοί πληροφορικής όσο και οι διαχειριστές συστημάτων.

Αυτός ο οδηγός θα σας δείξει πώς να ρυθμίσετε έναν διακομιστή απομακρυσμένης καταγραφής, γνωστό και ως κεντρικός υπολογιστής καταγραφής, στο Linux. Ένας κεντρικός υπολογιστής καταγραφής σάς επιτρέπει να συγκεντρώνετε τοπικά αρχεία καταγραφής Linux σε έναν απομακρυσμένο κεντρικό διακομιστή για εύκολη πρόσβαση και ανάλυση.

Γιατί να έχετε έναν αποκλειστικό διακομιστή καταγραφής;

Το λειτουργικό σύστημα Linux καταγράφει τις περισσότερες δραστηριότητες στον διακομιστή σας για έλεγχο και εντοπισμό σφαλμάτων χρησιμοποιώντας τον δαίμονα syslog (πρωτόκολλο καταγραφής συστήματος). Ίσως λοιπόν αναρωτιέστε, γιατί χρειάζομαι έναν αποκλειστικό διακομιστή για τα αρχεία καταγραφής μου; Ακολουθούν ορισμένα πλεονεκτήματα από την ύπαρξη ενός αποκλειστικού διακομιστή καταγραφής:

• Καλύτερη ασφάλεια επειδή ο διακομιστής απομακρυσμένης καταγραφής έχει μόνο μερικές θύρες ανοιχτές προς τα έξω.
• Βελτιωμένη απόδοση διακομιστή επειδή ο κεντρικός υπολογιστής απομακρυσμένης καταγραφής δεν εκτελεί πολλές υπηρεσίες, εκτός από αυτές που χρησιμοποιούνται για την καταγραφή.
• Διευκολύνει την αρχειοθέτηση και τη διαχείριση των μηνυμάτων καταγραφής.

Τα μηνύματα καταγραφής είναι σημαντικά για τον έλεγχο των διακομιστών και της γραμμής βάσης και αποτελούν βασικό μέρος των διαδικασιών προληπτικής συντήρησης στην υποδομή του διακομιστή σας.

Βήμα 1: Εγκατάσταση του rsyslog σε Linux

Αυτός ο οδηγός εστιάζει στο Ubuntu 20.04, αλλά η διαδικασία θα πρέπει να είναι σχεδόν ίδια εάν χρησιμοποιείτε άλλες κύριες διανομές Linux.

Το rsyslog είναι μια υπηρεσία απομακρυσμένης καταγραφής για Linux και είναι προεγκατεστημένη από προεπιλογή στις περισσότερες σύγχρονες διανομές Linux, για παράδειγμα, το Ubuntu και άλλα συστήματα που βασίζονται στο Debian.

Η υπηρεσία rsyslog είναι ένας σύγχρονος και βελτιωμένος δαίμονας στο syslog, ο οποίος σας επιτρέπει μόνο να διαχειρίζεστε αρχεία καταγραφής τοπικά. Με τον δαίμονα rsyslog, μπορείτε να στείλετε τα τοπικά αρχεία καταγραφής σας σε κάποιο διαμορφωμένο απομακρυσμένο διακομιστή Linux.

Εάν δεν έχετε εγκατεστημένο το rsyslog στον υπολογιστή σας, μπορείτε εύκολα να το κάνετε χρησιμοποιώντας την ακόλουθη εντολή, σε διανομές που βασίζονται στο Debian:

sudo apt εγκατάσταση rsyslog

Στο Red Hat Linux, μπορείτε να το εγκαταστήσετε πληκτρολογώντας:

εγκαταστήστε το rsyslog

Στο Fedora και τα παράγωγά του, εκτελέστε:

dnf εγκατάσταση rsyslog

Για να εγκαταστήσετε το rsyslog στο Arch Linux:

yay -S rsyslog

Για να ελέγξετε την κατάσταση του rsyslog, εκτελέστε την ακόλουθη εντολή:

systemctl κατάσταση rsyslog

Παραγωγή:

Βήμα 2: Διαμόρφωση του διακομιστή κεντρικού υπολογιστή καταγραφής

Ο κεντρικός υπολογιστής καταγραφής είναι ο διακομιστής που έχει ρυθμιστεί να λαμβάνει μηνύματα καταγραφής από άλλους διακομιστές ή υπολογιστές. Η διαμόρφωση rsyslog βρίσκεται στο /etc/rsyslog.conf αρχείο.

Μπορείτε να ανοίξετε το /etc/rsyslog.conf αρχείο χρησιμοποιώντας οποιοδήποτε πρόγραμμα επεξεργασίας κειμένου της επιλογής σας. Σε αυτόν τον οδηγό, θα χρησιμοποιήσουμε το Vim.

Θα χρειαστείτε αυξημένα δικαιώματα για να κάνετε αλλαγές στο αρχείο διαμόρφωσης.

Πριν ξεκινήσετε την επεξεργασία του αρχείου διαμόρφωσης, θα πρέπει να δημιουργήσετε ένα αντίγραφο ασφαλείας ή αντίγραφο του αρχείου. Για να το κάνετε αυτό, εκτελέστε την εντολή:

sudo cp /etc/rsyslog.conf /etc/rsyslog_original.config

Στη συνέχεια, ανοίξτε το /etc/rsyslog.conf αρχείο χρησιμοποιώντας ένα πρόγραμμα επεξεργασίας κειμένου.

sudo vim /etc/rsyslog.conf 

Υπάρχουν δύο πρωτόκολλα που μπορείτε να χρησιμοποιήσετε για την αποστολή/λήψη αρχείων καταγραφής με το rsyslog: TCP και UDP. Αυτός ο οδηγός σάς δείχνει πώς να διαμορφώσετε και τα δύο.

Δεν χρειάζεται να διαμορφώσετε τόσο το UDP όσο και το TCP για να λειτουργήσει η απομακρυσμένη καταγραφή. Επιλέξτε μόνο ένα από τα δύο.

Εάν προτιμάτε να χρησιμοποιήσετε το UDP, αναζητήστε και αφαιρέστε το σχολιασμό των παρακάτω γραμμών, αφαιρώντας το πρώτο Λίβρα (#) σύμβολο που προηγείται των γραμμών. Μπορείτε να βρείτε αυτές τις γραμμές στην ενότητα modules του αρχείου διαμόρφωσης.

ενότητα (load="imudp")
είσοδος (type="imudp" port="514")

Εάν προτιμάτε να χρησιμοποιήσετε το TCP, καταργήστε το σχολιασμό των ακόλουθων γραμμών αφαιρώντας την κύρια Λίβρα (#) σύμβολο που βρίσκεται στην αρχή των γραμμών:

ενότητα (load="imtcp")
είσοδος (type="imtcp" port="514")

Το ακόλουθο σχήμα δείχνει το αρχείο διαμόρφωσης rsyslog που έχει ρυθμιστεί για χρήση επικοινωνίας UDP:

Στη συνέχεια, διαμορφώστε τη θέση όπου το rsyslog θα αποθηκεύει τα αρχεία καταγραφής σας. Για καλύτερη οργάνωση, θα πρέπει να ταξινομήσετε τα εισερχόμενα αρχεία καταγραφής με βάση την προέλευσή τους. Ορίστε ένα πρότυπο στο αρχείο διαμόρφωσης rsyslog προσθέτοντας τις ακόλουθες γραμμές:

$template remote-incoming-logs, "/var/log/remote/%HOSTNAME%".log
*.* ?remote-incoming-logs

Οι προαναφερθείσες γραμμές δίνουν εντολή στο rsyslog για αποθήκευση των αρχείων καταγραφής στο φάκελο /var/log/remote/hostname, όπου όνομα κεντρικού υπολογιστή είναι το όνομα του απομακρυσμένου προγράμματος-πελάτη που στέλνει μηνύματα καταγραφής στον κεντρικό υπολογιστή καταγραφής.

Τώρα, αποθηκεύστε τις αλλαγές που έχετε κάνει. Εάν χρησιμοποιείτε Vim, Εδώ είναι πώς να αποθηκεύσετε και να τερματίσετε ένα αρχείο.

Τέλος, επανεκκινήστε τις υπηρεσίες rsyslog για να τεθούν σε ισχύ οι αλλαγές που έχετε κάνει.

sudo systemctl επανεκκίνηση rsyslog

Βήμα 3: Διαμόρφωση του τείχους προστασίας σας

Εάν το τείχος προστασίας σας είναι ενεργοποιημένο, βεβαιωθείτε ότι η θύρα που έχετε ρυθμίσει παραπάνω μπορεί να επικοινωνεί με τον έξω κόσμο. Θα χρειαστεί να επεξεργαστείτε τους κανόνες του τείχους προστασίας για να επιτρέψετε τα εισερχόμενα αρχεία καταγραφής.

Για διανομές που βασίζονται στο Debian, απλώς χρησιμοποιήστε το εργαλείο UFW, για να ενεργοποιήσετε είτε το πρωτόκολλο μεταφοράς UDP είτε TCP.

Σχετιζομαι με: Πώς να ρυθμίσετε το τείχος προστασίας στο Ubuntu χρησιμοποιώντας το UFW

Εάν χρησιμοποιείτε UDP, εκτελέστε την ακόλουθη εντολή, όπου το 514 είναι ο διαμορφωμένος αριθμός θύρας:

sudo ufw 514/udp

Εάν χρησιμοποιείτε TCP στη θύρα 514, απλώς εκτελέστε:

sudo ufw 514/tcp

Στο Fedora, μπορείτε να χρησιμοποιήσετε τείχος προστασίας-cmd για την επίτευξη παρόμοιων αποτελεσμάτων.

firewall-cmd --zone=zone --add-port=514/udp

Για το Red Hat Linux, ανοίξτε το iptables αρχείο που βρίσκεται στο /etc/sysconfig/iptables χρησιμοποιώντας το πρόγραμμα επεξεργασίας κειμένου της επιλογής σας και προσθέστε τον ακόλουθο κανόνα:

-A INPUT -m κατάσταση --state NEW -m udp -p udp --dport 514 -j ACCEPT

Επανεκκινήστε την υπηρεσία iptables για να τεθούν σε ισχύ οι αλλαγές.

επανεκκίνηση του service iptables

Βήμα 4: Διαμόρφωση του Logging Client

Ο πελάτης είναι το μηχάνημα που στέλνει τα αρχεία καταγραφής του σε έναν απομακρυσμένο ή κεντρικό διακομιστή κεντρικού υπολογιστή καταγραφής. Ανοίξτε το αρχείο διαμόρφωσης rsyslog που βρίσκεται στο /etc/rsyslog.conf:

sudo vim /etc/rsyslog.conf

Προσθέστε την ακόλουθη γραμμή εάν χρησιμοποιείτε UDP, όπου 192.168.12.123 είναι η διεύθυνση IP του απομακρυσμένου διακομιστή, θα γράφετε τα αρχεία καταγραφής σας σε:

*.* @192.168.12.123:514

Εάν χρησιμοποιείτε TCP, προσθέστε την ακόλουθη γραμμή. Σημειώστε ότι η γραμμή έχει δύο @ σύμβολα.

*.* @@192.168.12.123:514

Αποθηκεύστε τις αλλαγές σας και επανεκκινήστε την υπηρεσία rsyslog στον πελάτη με την εντολή:

sudo systemctl επανεκκίνηση rsyslog

Βήμα 5: Προβολή των μηνυμάτων καταγραφής στο διακομιστή

Μπορείτε να χρησιμοποιήσετε το SSH για να συνδεθείτε στον απομακρυσμένο διακομιστή σας και να προβάλετε τα αρχεία καταγραφής που αποστέλλονται από τους διακομιστές-πελάτες. Σε αυτήν την περίπτωση, το rsyslog έχει ρυθμιστεί έτσι ώστε να αποθηκεύει τα αρχεία καταγραφής του πελάτη στο /var/log/remote κατάλογο του απομακρυσμένου διακομιστή.

cd /var/logs/mote

Στη συνέχεια, καταχωρίστε τα περιεχόμενα του καταλόγου χρησιμοποιώντας την εντολή ls:

ls -l

Όπως μπορείτε να δείτε στην έξοδο, ο κατάλογος περιέχει μηνύματα καταγραφής για τους απομακρυσμένους διακομιστές που ονομάζονται andiwa και rukuru. Τα αρχεία καταγραφής τους ονομάζονται andiwa.log και rukuru.log αντίστοιχα.

Στη συνέχεια, μπορείτε να δείτε τα αρχεία καταγραφής χρησιμοποιώντας ένα πρόγραμμα επεξεργασίας κειμένου ή με Εργαλεία προβολής αρχείων Linux όπως γάτα ή λιγότερο.

Η απομακρυσμένη καταγραφή σας δίνει περισσότερο έλεγχο

Αυτός ο οδηγός εξέτασε πώς να ρυθμίσετε έναν απομακρυσμένο διακομιστή καταγραφής (κεντρικός υπολογιστής καταγραφής) στο Linux.

Ένας κεντρικός υπολογιστής καταγραφής σάς προσφέρει καλύτερη οργάνωση και έλεγχο όσον αφορά την καταγραφή. Ακόμη και σε σενάρια όπου ένα σύστημα είναι κατεστραμμένο ή δεν είναι προσβάσιμο, μπορείτε να δείτε τα αρχεία καταγραφής του από τον κεντρικό υπολογιστή καταγραφής και να καταλάβετε τι πήγε στραβά.

Ξεκινώντας με τη σύνδεση συστήματος στο Linux

Διαβάστε Επόμενο

Σχετικά με τον Συγγραφέα