Come installare e configurare il server e il client Rsyslog su Ubuntu 24.04

Rsyslog su Ubuntu è un potente e flessibile demone di registrazione di sistema utilizzato per raccogliere, filtrare, memorizzare e inoltrare i messaggi di registro generati dal sistema operativo e dalle applicazioni. È una versione migliorata del tradizionale servizio syslog, che fornisce funzionalità aggiuntive come registrazione ad alte prestazioni, capacità di filtraggio avanzate e supporto per più protocolli di registrazione, tra cui TCP, UDP e RELP (Reliable Event Logging Protocol). Rsyslog può gestire messaggi di registro provenienti da varie fonti e indirizzarli a diverse destinazioni come file, database o server remoti. È ampiamente utilizzato nei sistemi di registrazione centralizzati per scopi di monitoraggio, risoluzione dei problemi e auditing. Consentendo una configurazione dettagliata, Rsyslog consente agli amministratori di Ubuntu di gestire in modo efficiente i registri di sistema e garantire che le informazioni importanti vengano catturate e memorizzate in modo sicuro.

I registri sono molto utili per analizzare e risolvere problemi relativi al sistema Linux e alle applicazioni. Per impostazione predefinita, tutti i file di registro si trovano all’interno della directory /var/log nei sistemi operativi basati su Linux. Ci sono diversi tipi di file di registro, tra cui cron, kernel, utenti e sicurezza, e la maggior parte di questi file è controllata dal servizio Rsyslog.

In questo tutorial, spiegherò come configurare il server Rsyslog sul server Ubuntu 24.04.

Prerequisiti

Due server che eseguono Ubuntu 24.04.
Un indirizzo IP statico 192.168.0.101 è configurato sulla macchina del server Rsyslog e 192.168.0.102 è configurato sulla macchina del client Rsyslog.
Una password di root è configurata su entrambi i server.

Installare Rsyslog

Puoi installare Rsyslog eseguendo il seguente comando:

apt install rsyslog -y

Dopo aver installato Rsyslog, puoi controllare la versione di Rsyslog con il seguente comando:

rsyslogd -v

Puoi anche controllare lo stato di Rsyslog con il seguente comando:

systemctl status rsyslog

Dovresti vedere il seguente output:

? rsyslog.service - System Logging Service
   Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
   Active: active (running) since Tue 2024-08-22 04:28:55 UTC; 1min 31s ago
     Docs: man:rsyslogd(8)
           http://www.rsyslog.com/doc/
 Main PID: 724 (rsyslogd)
    Tasks: 4 (limit: 1114)
   CGroup: /system.slice/rsyslog.service
           ??724 /usr/sbin/rsyslogd -n

Aug 22 04:28:53 ubuntu2404 systemd[1]: Starting System Logging Service...
Aug 22 04:28:54 ubuntu2404 rsyslogd[724]: imuxsock: Acquired UNIX socket '/run/systemd/journal/syslog' (fd 3) from systemd.  [v8.32.0]
Aug 22 04:28:54 ubuntu2404 rsyslogd[724]: rsyslogd's groupid changed to 106
Aug 22 04:28:54 ubuntu2404 rsyslogd[724]: rsyslogd's userid changed to 102
Aug 22 04:28:54 ubuntu2404 rsyslogd[724]:  [origin software="rsyslogd" swVersion="8.32.0" x-pid="724" x-info="http://www.rsyslog.com"] start
Aug 22 04:28:55 ubuntu2404 systemd[1]: Started System Logging Service.

Configurare il server Rsyslog

Rsyslog è ora installato e in esecuzione. Successivamente, devi configurarlo per funzionare in modalità server. Puoi modificare il file /etc/rsyslog.conf.

nano /etc/rsyslog.conf

Prima, dovrai definire il protocollo, sia UDP che TCP o entrambi.

Per utilizzare sia le connessioni UDP che TCP contemporaneamente, cerca e decommenta le righe sottostanti:

$ModLoad imudp
$UDPServerRun 514
$ModLoad imtcp
$InputTCPServerRun 514

Successivamente, definisci la subnet specifica, l’IP o il dominio per limitare l’accesso come mostrato di seguito:

$AllowedSender TCP, 127.0.0.1, 192.168.0.0/24, *.example.com
$AllowedSender UDP, 127.0.0.1, 192.168.0.0/24, *.example.com

Successivamente, devi creare un modello per dire al server Rsyslog come memorizzare i messaggi syslog in arrivo. Aggiungi le seguenti righe appena prima della sezione GLOBAL DIRECTIVES:

$template remote-incoming-logs, "/var/log/%HOSTNAME%/%PROGRAMNAME%.log" 
*.* ?remote-incoming-logs

Salva e chiudi il file quando hai finito. Quindi, controlla la configurazione di Rsyslog per eventuali errori di sintassi con il seguente comando:

rsyslogd -f /etc/rsyslog.conf -N1

Dovresti vedere il seguente output:

rsyslogd: version 8.32.0, config validation run (level 1), master config /etc/rsyslog.conf
rsyslogd: End of config validation run. Bye.

Infine, riavvia il servizio Rsyslog con il seguente comando:

systemctl restart rsyslog

Ora, verifica che Rsyslog stia ascoltando su TCP/UDP con il seguente comando:

netstat -4altunp | grep 514

Dovresti ottenere il seguente output:

tcp        0      0 0.0.0.0:514             0.0.0.0:*               LISTEN      1332/rsyslogd       
udp        0      0 0.0.0.0:514             0.0.0.0:*                           1332/rsyslogd

Configurare il client Rsyslog

Il server Rsyslog è installato e configurato per ricevere registri da host remoti.

Ora, devi configurare il client Rsyslog per inviare messaggi syslog al server Rsyslog remoto.

Accedi alla macchina Client e apri il file di configurazione di Rsyslog come mostrato di seguito:

nano /etc/rsyslog.conf

Aggiungi le seguenti righe alla fine del file:

##Abilita l'invio di registri tramite UDP aggiungi la seguente riga:

*.* @192.168.0.101:514


##Abilita l'invio di registri tramite TCP aggiungi la seguente riga:

*.* @@192.168.0.101:514

##Imposta la coda su disco quando il server rsyslog sarà inattivo:

$ActionQueueFileName queue
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1

Salva e chiudi il file. Quindi, riavvia il server Rsyslog per applicare le modifiche alla configurazione:

systemtcl restart rsyslog

Visualizza il registro del client

A questo punto, il client Rsyslog è configurato per inviare i propri registri al server Rsyslog.

Accedi al server Rsyslog e controlla la directory /var/log. Dovresti vedere l’entrata con il nome host delle tue macchine client, inclusi diversi file di registro:

ls /var/log/rsyslog-client/

Output:

CRON.log  kernel.log  rsyslogd-2039.log  rsyslogd.log  sudo.log  wpa_supplicant.log

Conclusione

Nell’articolo sopra, abbiamo imparato come installare e configurare il server Rsyslog su un server Ubuntu 24.04 e come configurare il client Rsyslog per inviare registri al server Rsyslog. Sentiti libero di chiedermi se hai domande.