搜索

[943] 2019-11-04_[ELK入门到实践笔记]一、通过rsyslog搭建集中日志服务器

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2019-11-04_[ELK入门到实践笔记]一、通过rsyslog搭建集中日志服务器 [ E L K 入 门 到 实 践 笔 记 ]   一 、 通 过 r s y s l o g 搭 建 集 中 日 志 服 务 器 原 创   B y p a s s   B y p a s s   2 0 1 9 - 1 1 - 0 4 E L K   是 e l a s t i c 公 司 提 供 的 一 套 完 整 的 日 志 收 集 以 及 展 示 的 解 决 方 案 ， 这 是 我 在 E L K 学 习 和 实 践 过 程 写 下 的 笔 记 ， 整 理 成 了 一 个 E L K 入 门 到 实 践 的 系 列 文 章 ， 分 享 出 来 与 大 家 共 勉 。 本 文 为 该 系 列 文 章 的 第 一 篇 ， 通 过 本 文 为 该 系 列 文 章 的 第 一 篇 ， 通 过 r s y s l o g 搭 建 集 中 日 志 服 务 器 ， 收 集 搭 建 集 中 日 志 服 务 器 ， 收 集 l i n u x 和 和 w i n d o w 系 统 日 志 。 系 统 日 志 。 我 们 通 常 可 以 通 过 r s y s l o g 来 实 现 系 统 日 志 的 集 中 管 理 ， 这 种 情 况 下 通 常 会 有 一 个 日 志 服 务 器 ， 然 后 每 台 服 务 器 配 置 自 己 日 志 通 过 r s y s l o g 来 写 到 远 程 的 日 志 服 务 器 上 ， 如 下 是 r s y s l o g 的 配 置 过 程 ： 0 x 0 1   r s y s l o g 服 务 端 配 置 服 务 端 配 置 1 、 启 用 U D P / T C P 进 行 传 输 v i m   / e t c / r s y s l o g . c o n f #   P r o v i d e s   U D P   s y s l o g   r e c e p t i o n         # 若 启 用 U D P 进 行 传 输 ， 则 取 消 下 面 两 行 的 注 释 $ M o d L o a d   i m u d p $ U D P S e r v e r R u n   5 1 4 #   P r o v i d e s   T C P   s y s l o g   r e c e p t i o n         # 若 启 用 T C P 进 行 传 输 ， 则 取 消 下 面 两 行 的 注 释 # $ M o d L o a d   i m t c p
2 、 为 避 免 修 改 主 配 置 文 件 ， 我 们 在 中 新 建 d e f a u l t . c o n f ， 追 加 如 下 模 板 ： 3 、 重 启 r s y s l o g 服 务 0 x 0 2   r s y s l o g 客 户 务 端 配 置 客 户 务 端 配 置 1 、 启 用 U D P 进 行 传 输 并 设 置 远 程 日 志 服 务 器 2 、 重 启 r s y s l o g 服 务 0 x 0 3   效 果 展 示 效 果 展 示 通 过 使 用 自 定 义 日 志 格 式 ， 将 不 同 服 务 器 I P 的 日 志 单 独 分 别 存 放 在 不 同 目 录 。 到 这 里 ， 使 用 r s y s l o g 服 务 端 和 l i n u x 系 统 日 志 收 集 已 完 成 。 # $ I n p u t T C P S e r v e r R u n   5 1 4 / e t c / r s y s l o g . d / # # # #   G L O B A L   D I R E C T I V E S   # # # # #   U s e   d e f a u l t   t i m e s t a m p   f o r m a t     #   使 用 自 定 义 的 日 志 格 式 $ A c t i o n F i l e D e f a u l t T e m p l a t e   R S Y S L O G _ T r a d i t i o n a l F i l e F o r m a t $ t e m p l a t e   m y F o r m a t , " % t i m e s t a m p %   % f r o m h o s t - i p %   % s y s l o g t a g %   % m s g % n " $ A c t i o n F i l e D e f a u l t T e m p l a t e   m y F o r m a t #   根 据 客 户 端 的 I P 单 独 存 放 主 机 日 志 在 不 同 目 录 ， r s y s l o g 需 要 手 动 创 建 $ t e m p l a t e   R e m o t e L o g s , " / v a r / l o g / r s y s l o g / % f r o m h o s t - i p % / % f r o m h o s t - i p % _ % $ Y E A R % - % $ M O N T H % - % $ D A Y % . l o g " #   排 除 本 地 主 机 I P 日 志 记 录 ， 只 记 录 远 程 主 机 日 志 : f r o m h o s t - i p ,   ! i s e q u a l ,   " 1 2 7 . 0 . 0 . 1 "   ? R e m o t e L o g s #   忽 略 之 前 所 有 的 日 志 ， 远 程 主 机 日 志 记 录 完 之 后 不 再 继 续 往 下 记 录 &   ~ s y s t e m c t l   r e s t a r t   r s y s l o g v i m   / e t c / r s y s l o g . c o n f #   P r o v i d e s   U D P   s y s l o g   r e c e p t i o n         # 若 启 用 U D P 进 行 传 输 ， 则 取 消 下 面 两 行 的 注 释 $ M o d L o a d   i m u d p $ U D P S e r v e r R u n   5 1 4 #   P r o v i d e s   T C P   s y s l o g   r e c e p t i o n         # 若 启 用 T C P 进 行 传 输 ， 则 取 消 下 面 两 行 的 注 释 # $ M o d L o a d   i m t c p # $ I n p u t T C P S e r v e r R u n   5 1 4 * . *         @ 1 9 2 . 1 6 8 . 9 1 . 1 8 : 5 1 4                     # 若 启 用 T C P 传 输 则 使 用 @ @ ， 若 是 U D P 则 使 用 @ s y s t e m c t l   r e s t a r t   r s y s l o g
0 x 0 4   扩 展 部 分 ： 扩 展 部 分 ： R s y s l o g   W i n d o w s   A g e n t 一 般 情 况 下 ， 我 们 会 使 用 w i n l o g b e a t 用 于 收 集 w i n d o w s 的 系 统 事 件 日 志 ， 但 其 实 r s y s l o g 自 身 也 提 供 了 一 个 R s y s l o g   W i n d o w s 代 理 ， 用 来 收 集 w i n d o w s 日 志 。 下 载 地 址 ： h t t p s : / / w w w . r s y s l o g . c o m / w i n d o w s - a g e n t / w i n d o w s - a g e n t - d o w n l o a d / 安 装 过 程 ： 安 装 过 程 ： 1 、 双 击 r s y s l o g w a 安 装 包 ， 开 始 进 行 安 装 2 、 一 路 N e x t 安 装 即 可 。 P S ： 在 这 里 可 能 需 要 等 几 分 钟 。
操 作 使 用 ： 操 作 使 用 ： 1 、 打 开 R S y s l o g   W i n d o w s   A g e n t   C o n f i g u r a t i o n ， 在 T o o l s - - - >   S t s l o g   T e s t   M e s s a g e ， 配 置 S y s l o g     S e r v e r 服 务 器 地 址 ， 点 击 S e n d ， 进 行 测 试 。
在 R s y s l o g 服 务 端 ， 接 收 到 一 条 测 试 日 志 ， 说 明 R s y s l o g 通 讯 正 常 。 N o v   1   1 3 : 2 3 : 1 8   1 9 2 . 1 6 8 . 1 6 5 . 1 9 3   R S y s l o g   W i n d o w s   A g e n t :   T h i s   i s   a   S y s l o g T e s t   2 、 依 次 展 示 R u l e S e t s ， 进 行 R s y s l o g 转 发 配 置 ， 并 启 用 服 务 。 在 r s y s l o g 服 务 端 进 行 验 证 ， 如 尝 试 远 程 连 接 w i n d o w 服 务 器 ， 可 接 收 到 多 条 服 务 器 日 志 。 最 后 ， 我 创 建 了 一 个 付 费 社 群 ， 用 于 分 享 高 质 量 安 全 干 货 ， 有 兴 趣 的 童 鞋 都 可 以 加 入 !
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理