Come impostare un sistema di log centralizzato con Graylog su Debian 11

Graylog è una piattaforma di gestione dei log gratuita e open-source per la cattura, memorizzazione e abilitazione dell’analisi in tempo reale dei tuoi dati e log. È scritta in Java e costruita su altri software open-source come MongoDB ed Elasticsearch. Graylog fornisce una delle piattaforme di gestione dei log centralizzata più efficienti, veloci e flessibili.

Utilizzando Graylog, puoi inviare e analizzare sia dati strutturati che non strutturati da quasi qualsiasi fonte di dati.

In questo tutorial, ti mostreremo come installare e configurare Graylog come sistema di logging centralizzato sul sistema Debian 11. Inoltre, ti mostreremo come impostare il server web Nginx come reverse proxy per il server Graylog.

Prerequisiti

Un server Linux Debian 11 - almeno con 4GB di RAM.
Un utente non root con privilegi sudo o di amministratore.

Installare le dipendenze dei pacchetti di base

Nella prima fase di questo tutorial, installerai alcune dipendenze di pacchetto di base, inclusi Java e GnuPG.

Prima di iniziare a installare qualsiasi pacchetto, esegui il comando apt qui sotto per aggiornare e rinfrescare il tuo attuale repository Debian.

sudo apt update

Ora installa alcune dipendenze di pacchetto per Graylog utilizzando il comando qui sotto.

sudo apt install apt-transport-https openjdk-11-jre-headless uuid-runtime pwgen dirmngr gnupg wget

Immetti Y per confermare l’installazione e premi ENTER per continuare.

install basic dependencies

Dopo che l’installazione è completata, passa al passaggio successivo per installare un’altra dipendenza di Graylog, MongoDB ed Elasticsearch.

Installazione di MongoDB

Graylog utilizza il database NoSQL MongoDB per memorizzare tutte le informazioni sulla configurazione di Graylog, flussi, avvisi, utenti, flussi memorizzati nella cache, ecc. Tutte le informazioni che vedi sulle interfacce web di Graylog sono memorizzate nel database NoSQL MongoDB, ad eccezione dei log stessi. La versione attuale di Graylog richiede MongoDB v4 fino a v4.4.

Esegui i comandi qui sotto per aggiungere la chiave GPG di MongoDB e il repository al tuo server Debian.

wget -qO - https://www.mongodb.org/static/pgp/server-4.2.asc | sudo apt-key add -  
echo "deb http://repo.mongodb.org/apt/debian buster/mongodb-org/4.2 main" | sudo tee /etc/apt/sources.list.d/mongodb-org-4.2.list

Aggiorna il tuo repository Debian utilizzando il seguente comando.

sudo apt update

Come puoi vedere nello screenshot qui sotto, il repository MongoDB è stato aggiunto al tuo server Debian.

add mongodb repository

Successivamente, installa i pacchetti MongoDB utilizzando il comando apt qui sotto.

sudo apt install -y mongodb-org

L’installazione del database MongoDB inizierà.

install mongodb

Dopo che l’installazione di MongoDB è completata, esegui il seguente comando per ricaricare il gestore systemd. Questo è necessario prima di avviare il servizio MongoDB.

sudo systemctl daemon-reload

Ora esegui il comando qui sotto per abilitare e riavviare il servizio MongoDB. Il servizio MongoDB si avvierà e verrà eseguito automaticamente all’avvio del sistema.

sudo systemctl enable mongod.service  
sudo systemctl restart mongod.service

Verifica il servizio MongoDB utilizzando il seguente comando.

sudo systemctl status mongod

Come puoi vedere nello screenshot seguente, il servizio MongoDB è in esecuzione ed è abilitato.

start and verify mongodb

Ora passa alla fase successiva per installare Elasticsearch.

Installazione di Elasticsearch

Dopo aver installato il database NoSQL MongoDB, ora dovrai installare Elasticsearch. Il server Graylog utilizza Elasticsearch come motore di ricerca per cercare i log. Nella versione attuale, Graylog richiede Elasticsearch v6.8 o v7.x fino a v7.10.

Prima di installare Elasticsearch, esegui il seguente comando per aggiungere la chiave GPG di Elasticsearch e il repository al tuo sistema Debian.

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -  
echo "deb https://artifacts.elastic.co/packages/oss-7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

Ora aggiorna e rinfresca il tuo repository Debian.

sudo apt update

Nello screenshot qui sotto, il repository Elasticsearch è stato aggiunto al server Debian.

add elasticsearch repository

Successivamente, installa i pacchetti Elasticsearch utilizzando il comando apt qui sotto.

sudo apt install elasticsearch-oss

L’installazione di Elasticsearch inizierà.

install elasticsearch

Dopo che l’installazione è completata, esegui il seguente comando per aggiungere la configurazione al file di configurazione di Elasticsearch /etc/elasticsearch/elasticsearch.yml. La seguente configurazione creerà un nuovo cluster Elasticsearch con il nome “ graylog “ e disabiliterà la creazione automatica di un indice su Elasticsearch.

sudo tee -a /etc/elasticsearch/elasticsearch.yml > /dev/null << EOT  
cluster.name: graylog  
action.auto_create_index: false  
EOT

Prima di avviare il servizio Elasticsearch, esegui il seguente comando per ricaricare il gestore systemd.

sudo systemctl daemon-reload

Ora esegui i seguenti comandi per abilitare e riavviare il servizio Elasticsearch. Questo aggiungerà Elasticsearch all’avvio del sistema e avvierà il servizio.

sudo systemctl enable elasticsearch.service  
sudo systemctl restart elasticsearch.service

Infine, verifica il servizio Elasticsearch utilizzando il seguente comando.

sudo systemctl status elasticsearch.service

Nello screenshot qui sotto, vedrai che il servizio Elasticsearch è in esecuzione ed è abilitato.

start and verify elasticsearch

Inoltre, puoi anche verificare l’installazione di Elasticsearch accedendo a Elasticsearch utilizzando curl. Elasticsearch è in esecuzione sulla porta predefinita 9200, quindi esegui il comando curl qui sotto.

curl http://localhost:9200/

Ora vedrai il messaggio di output come il seguente. Elasticsearch v7.x con il cluster chiamato graylog è installato sul server Debian.

verify elasticsearch

A questo punto, sei ora pronto per installare il server Graylog sul server Debian.

Installazione e configurazione del server Graylog

Per avviare l’installazione di Graylog, dovrai scaricare il file .deb del repository Graylog e installarlo utilizzando il seguente comando.

wget https://packages.graylog2.org/repo/packages/graylog-4.2-repository_latest.deb  
sudo dpkg -i graylog-4.2-repository_latest.deb

Ora aggiorna e rinfresca il tuo repository Debian.

sudo apt update

Qui sotto puoi vedere che il repository Graylog è stato aggiunto al server Debian.

add graylog repository

Successivamente, installa i pacchetti Graylog sul tuo server Debian utilizzando il comando apt qui sotto.

sudo apt install graylog-server graylog-enterprise-plugins graylog-integrations-plugins graylog-enterprise-integrations-plugins

L’installazione di Graylog inizierà ora.

Dopo che l’installazione è completata, esegui il seguente comando per generare il Graylog password_secret che sarà utilizzato per la crittografia e il salting delle password. Il Graylog password_secret deve essere lo stesso se stai eseguendo un cluster Graylog con più nodi. Inoltre, avrai bisogno di una stringa e numero casuali min 65 per il Graylog password_secret.

pwgen -N 1 -s 96

Ora copia la stringa casuale generata per il Graylog password_secret nei tuoi appunti.

Successivamente, esegui il seguente comando per generare la password crittografata con sha256. Questa password sarà utilizzata come password di amministrazione di Graylog.

echo -n "Inserisci Password: " && head -1

Immetti la tua password per la password di amministrazione di Graylog. E vedrai la password crittografata generata sha256. Copia la password crittografata nei tuoi appunti.

Successivamente, modifica la configurazione del server Graylog /etc/graylog/server/server.conf utilizzando l’editor nano.

sudo nano /etc/graylog/server/server.conf

Copia e incolla il Graylog password_secret generato e la password di amministrazione di Graylog in root_password_sha2 come di seguito.

password_secret = Eqq4M8EHpKbGfgi6C05t19hJ5WmF3nkVS8yjwclYHtvwsTXRulNHEsaWuy85QUTNIUc6b2ovfRjvR7yD5kwNTPAJCCw39T3d  
root_password_sha2 = 05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223

Salva e chiudi il file quando hai finito.

Ora esegui il seguente comando per ricaricare il gestore systemd prima di avviare il servizio del server Graylog.

sudo systemctl daemon-reload

Ora abilita e avvia il servizio del server Graylog utilizzando il seguente comando.

sudo systemctl enable graylog-server.service  
sudo systemctl start graylog-server.service

Il server Graylog sarà attivo e funzionante, controllalo utilizzando il seguente comando.

sudo systemctl status graylog-server.service

Nello screenshot qui sotto, vedrai che il servizio del server Graylog è in esecuzione ed è abilitato.

Hai ora completato l’installazione di Graylog, che è in esecuzione sul localhost predefinito con la porta 9000.

`Impostare Nginx come reverse proxy`

Dopo aver completato l’installazione e la configurazione del server Graylog, ora installerai e configurerai il server web Nginx come reverse proxy per il server Graylog. Questo ti consente di eseguire Graylog con il tuo nome di dominio.

Installa il pacchetto Nginx sul tuo server Debian utilizzando il seguente comando.

sudo apt install nginx -y

L’installazione inizierà.

Dopo che l’installazione è completata, crea un nuovo host virtuale Nginx o blocchi del server /etc/nginx/sites-available/graylog.conf utilizzando l’editor nano.

sudo nano /etc/nginx/sites-available/graylog.conf

Aggiungi la seguente configurazione Nginx. Questo abiliterà Nginx come reverse proxy per il server Graylog che è in esecuzione su http://127.0.0.1:9000/.

server  
{  
    listen 80 default_server;  
    listen [::]:80 default_server ipv6only=on;  
    server_name graylog.example.org;  
  
    location / {  
      proxy_set_header Host $http_host;  
      proxy_set_header X-Forwarded-Host $host;  
      proxy_set_header X-Forwarded-Server $host;  
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;  
      proxy_set_header X-Graylog-Server-URL http://$server_name/;  
      proxy_pass       http://127.0.0.1:9000;  
    }  
}

Salva e chiudi il file quando hai finito.

Successivamente, esegui il seguente comando per attivare la configurazione graylog.conf. Quindi verifica la configurazione di nginx.

sudo ln -s /etc/nginx/sites-available/graylog.conf /etc/nginx/sites-enabled/  
sudo nginx -t

Assicurati di ricevere il messaggio di output come test riuscito.

Infine, riavvia il servizio Nginx per applicare una nuova configurazione dell’host virtuale utilizzando il seguente comando.

sudo systemctl restart nginx

Ora apri il tuo browser web e visita il nome di dominio per l’URL di installazione di Graylog.

http://graylog.howtoforge.local/

Vedrai la pagina di accesso di Graylog qui sotto. Immetti l’utente admin predefinito con la tua password (il root_password_sha2) e fai clic sul pulsante Accedi.

Dopo aver effettuato l’accesso, vedrai il dashboard di Graylog qui sotto.

Hai ora completato l’esecuzione di Graylog sotto il reverse proxy Nginx.

`Conclusione`

Congratulazioni! hai ora completato l’installazione e la configurazione del server Graylog sul server Debian 11. Inoltre, hai completato la configurazione di Nginx come reverse proxy per il server Graylog.