Cómo instalar y configurar el servidor y cliente Rsyslog en Ubuntu 24.04

Rsyslog en Ubuntu es un potente y flexible demonio de registro del sistema utilizado para recopilar, filtrar, almacenar y reenviar mensajes de registro generados por el sistema operativo y las aplicaciones. Es una versión mejorada del servicio syslog tradicional, que proporciona características adicionales como registro de alto rendimiento, capacidades avanzadas de filtrado y soporte para múltiples protocolos de registro, incluidos TCP, UDP y RELP (Protocolo de Registro de Eventos Fiable). Rsyslog puede manejar mensajes de registro de diversas fuentes y dirigirlos a diferentes destinos como archivos, bases de datos o servidores remotos. Se utiliza ampliamente en sistemas de registro centralizados para fines de monitoreo, solución de problemas y auditoría. Al permitir una configuración detallada, Rsyslog permite a los administradores de Ubuntu gestionar de manera eficiente los registros del sistema y garantizar que la información importante se capture y almacene de forma segura.

Los registros son muy útiles para analizar y solucionar problemas relacionados con el sistema Linux y las aplicaciones. Por defecto, todos los archivos de registro se encuentran dentro del directorio /var/log en sistemas operativos basados en Linux. Hay varios tipos de archivos de registro, incluidos cron, kernel, usuarios y seguridad, y la mayoría de estos archivos son controlados por el servicio Rsyslog.

En este tutorial, explicaré cómo configurar el servidor Rsyslog en el servidor Ubuntu 24.04.

Requisitos previos

Dos servidores que ejecuten Ubuntu 24.04.
Una dirección IP estática 192.168.0.101 está configurada en la máquina del servidor Rsyslog y 192.168.0.102 está configurada en la máquina del cliente Rsyslog.
Una contraseña de root está configurada en ambos servidores.

Instalar Rsyslog

Puedes instalar Rsyslog ejecutando el siguiente comando:

apt install rsyslog -y

Después de instalar Rsyslog, puedes verificar la versión de Rsyslog con el siguiente comando:

rsyslogd -v

También puedes verificar el estado de Rsyslog con el siguiente comando:

systemctl status rsyslog

Deberías ver la siguiente salida:

? rsyslog.service - Servicio de Registro del Sistema
   Cargado: cargado (/lib/systemd/system/rsyslog.service; habilitado; preestablecido por el proveedor: habilitado)
   Activo: activo (ejecutándose) desde mar 2024-08-22 04:28:55 UTC; hace 1min 31s
     Docs: man:rsyslogd(8)
           http://www.rsyslog.com/doc/
 Main PID: 724 (rsyslogd)
    Tareas: 4 (límite: 1114)
   CGroup: /system.slice/rsyslog.service
           ??724 /usr/sbin/rsyslogd -n

Ago 22 04:28:53 ubuntu2404 systemd[1]: Iniciando Servicio de Registro del Sistema...
Ago 22 04:28:54 ubuntu2404 rsyslogd[724]: imuxsock: Adquirido socket UNIX '/run/systemd/journal/syslog' (fd 3) de systemd.  [v8.32.0]
Ago 22 04:28:54 ubuntu2404 rsyslogd[724]: El groupid de rsyslogd cambió a 106
Ago 22 04:28:54 ubuntu2404 rsyslogd[724]: El userid de rsyslogd cambió a 102
Ago 22 04:28:54 ubuntu2404 rsyslogd[724]:  [software de origen="rsyslogd" swVersion="8.32.0" x-pid="724" x-info="http://www.rsyslog.com"] inicio
Ago 22 04:28:55 ubuntu2404 systemd[1]: Servicio de Registro del Sistema iniciado.

Configurar el servidor Rsyslog

Rsyslog ahora está instalado y en ejecución. A continuación, debes configurarlo para que funcione en modo servidor. Puedes editar el archivo /etc/rsyslog.conf.

nano /etc/rsyslog.conf

Primero, necesitarás definir el protocolo ya sea UDP o TCP o ambos.

Para usar tanto conexiones UDP como TCP al mismo tiempo, busca y descomenta las líneas a continuación:

$ModLoad imudp
$UDPServerRun 514
$ModLoad imtcp
$InputTCPServerRun 514

A continuación, define la subred específica, IP o dominio para limitar el acceso como se muestra a continuación:

$AllowedSender TCP, 127.0.0.1, 192.168.0.0/24, *.example.com
$AllowedSender UDP, 127.0.0.1, 192.168.0.0/24, *.example.com

A continuación, debes crear una plantilla para indicarle al servidor Rsyslog cómo almacenar los mensajes syslog entrantes. Agrega las siguientes líneas justo antes de la sección DIRECTIVAS GLOBALES:

$template remote-incoming-logs, "/var/log/%HOSTNAME%/%PROGRAMNAME%.log" 
*.* ?remote-incoming-logs

Guarda y cierra el archivo cuando hayas terminado. Luego, verifica la configuración de Rsyslog en busca de errores de sintaxis con el siguiente comando:

rsyslogd -f /etc/rsyslog.conf -N1

Deberías ver la siguiente salida:

rsyslogd: versión 8.32.0, ejecución de validación de configuración (nivel 1), configuración maestra /etc/rsyslog.conf
rsyslogd: Fin de la ejecución de validación de configuración. Adiós.

Finalmente, reinicia el servicio Rsyslog con el siguiente comando:

systemctl restart rsyslog

Ahora, verifica que Rsyslog esté escuchando en TCP/UDP con el siguiente comando:

netstat -4altunp | grep 514

Deberías obtener la siguiente salida:

tcp        0      0 0.0.0.0:514             0.0.0.0:*               LISTEN      1332/rsyslogd       
udp        0      0 0.0.0.0:514             0.0.0.0:*                           1332/rsyslogd

Configurar el cliente Rsyslog

El servidor Rsyslog está instalado y configurado para recibir registros de hosts remotos.

Ahora, debes configurar el cliente Rsyslog para enviar mensajes syslog al servidor Rsyslog remoto.

Inicia sesión en la máquina cliente y abre el archivo de configuración de Rsyslog como se muestra a continuación:

nano /etc/rsyslog.conf

Agrega las siguientes líneas al final del archivo:

##Habilitar el envío de registros a través de UDP agrega la siguiente línea:

*.* @192.168.0.101:514


##Habilitar el envío de registros a través de TCP agrega la siguiente línea:

*.* @@192.168.0.101:514

##Establecer cola en disco cuando el servidor rsyslog esté inactivo:

$ActionQueueFileName queue
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1

Guarda y cierra el archivo. Luego, reinicia el servidor Rsyslog para aplicar los cambios de configuración:

systemtcl restart rsyslog

Ver registro del cliente

En este punto, el cliente Rsyslog está configurado para enviar su registro al servidor Rsyslog.

Inicia sesión en el servidor Rsyslog y verifica el directorio /var/log. Deberías ver la entrada con el nombre de host de tus máquinas cliente, incluidos varios archivos de registro:

ls /var/log/rsyslog-client/

Salida:

CRON.log  kernel.log  rsyslogd-2039.log  rsyslogd.log  sudo.log  wpa_supplicant.log

Conclusión

En el artículo anterior, aprendimos cómo instalar y configurar el servidor Rsyslog en un servidor Ubuntu 24.04 y cómo configurar el cliente Rsyslog para enviar registros al servidor Rsyslog. No dudes en preguntarme si tienes alguna pregunta.