利用rhel 7 linux的rsyslog进行简易的集中日志监控

郑全 · 发表于 2018-12-11 11:33:50

本帖最后由郑全于 2018-12-11 11:42 编辑

上周末参加思庄rhce课程学习，在日志管理这章，张 sir讲到目前单位在做等保，很多单位都没有集中日志服务器，有钱的，可以直接购买现成的，无钱的，又想过等保，怎么办呢？

其实，rhel rsyslog服务可以来帮你，我们直接使用其中一台机器作为日志服务器，其他服务器的日志都往这个日志服务器写即可。
1.拓扑图
以下是我做实验的一个简单架构：

登录/注册后可看大图

447165c0f23240060d.png (46.54 KB, 下载次数: 227)

下载附件

2018-12-11 10:38 上传

图如上：

2.配置信息

server10 :172.25.10.11 作为日志服务器

desktop10:172.25.10.10
desktop11:172.25.11.10

以上两台desktop机器的日志，直接往 server10机器上发送。

3.配置步骤
3.1 在服务器端server10配置日志服务
   vim /etc/rsyslog.conf
   修改以下部分：
   ...

登录/注册后可看大图

314855c0f2480d6b89.png (25.76 KB, 下载次数: 238)

下载附件

2018-12-11 10:44 上传

   如果只要 udp ，就把以下部分的# 去掉：
   #$ModLoad imudp
   #$UDPServerRun 514

如果只要 TCP ，就把以下部分的# 去掉：

   #$ModLoad imtcp
   #$InputTCPServerRun 514

   我是把两者都修改取消：

登录/注册后可看大图

189235c0f253ef2ce4.png (24.81 KB, 下载次数: 241)

下载附件

2018-12-11 10:47 上传

3.2 设置防火墙
端口为 514，如果防火墙开启，默认没有允许514端口，解决办法为，配置防火墙，或者关闭防火墙，下面设置防火墙：

登录/注册后可看大图

75885c0f2d91c2f9e.png (100.53 KB, 下载次数: 231)

下载附件

2018-12-11 11:22 上传

3.3 重启服务器端rsyslog服务

登录/注册后可看大图

673175c0f2dea840cc.png (79.75 KB, 下载次数: 242)

下载附件

2018-12-11 11:24 上传

3.4 配置客户端 desktop10,desktop11

3.4.1 配置desktop10

  [student@desktop10 ~]$ hostname
desktop10.example.com
  [root@desktop10 ~]# vim /etc/rsyslog.conf
  ...

登录/注册后可看大图

636265c0f28333a67c.png (97.69 KB, 下载次数: 247)

下载附件

2018-12-11 11:00 上传

  修改 *.* @@remote-host:514
  为 *.* @@server10:514
  修改后：

登录/注册后可看大图

帐号		自动登录	找回密码
密码			注册

[系统管理] 利用rhel 7 linux的rsyslog进行简易的集中日志监控