Como Instalar e Configurar o Servidor e Cliente Rsyslog no Ubuntu 24.04

Rsyslog no Ubuntu é um daemon de registro de sistema poderoso e flexível usado para coletar, filtrar, armazenar e encaminhar mensagens de log geradas pelo sistema operacional e aplicativos. É uma versão aprimorada do serviço syslog tradicional, fornecendo recursos adicionais, como registro de alto desempenho, capacidades avançadas de filtragem e suporte a múltiplos protocolos de registro, incluindo TCP, UDP e RELP (Protocolo de Registro de Eventos Confiável). O Rsyslog pode lidar com mensagens de log de várias fontes e direcioná-las para diferentes destinos, como arquivos, bancos de dados ou servidores remotos. É amplamente utilizado em sistemas de registro centralizados para monitoramento, solução de problemas e auditoria. Ao permitir uma configuração detalhada, o Rsyslog permite que os administradores do Ubuntu gerenciem eficientemente os logs do sistema e garantam que informações importantes sejam capturadas e armazenadas de forma segura.

Os logs são muito úteis para analisar e solucionar problemas relacionados ao sistema Linux e aplicativos. Por padrão, todos os arquivos de log estão localizados dentro do diretório /var/log em sistemas operacionais baseados em Linux. Existem vários tipos de arquivos de log, incluindo cron, kernel, usuários e segurança, e a maioria desses arquivos é controlada pelo serviço Rsyslog.

Neste tutorial, explicarei como configurar o servidor Rsyslog no servidor Ubuntu 24.04.

Pré-requisitos

Dois servidores rodando Ubuntu 24.04.
Um endereço IP estático 192.168.0.101 configurado na máquina do servidor Rsyslog e 192.168.0.102 configurado na máquina do cliente Rsyslog.
Uma senha de root configurada em ambos os servidores.

Instalar Rsyslog

Você pode instalar o Rsyslog executando o seguinte comando:

apt install rsyslog -y

Após instalar o Rsyslog, você pode verificar a versão do Rsyslog com o seguinte comando:

rsyslogd -v

Você também pode verificar o status do Rsyslog com o seguinte comando:

systemctl status rsyslog

Você deve ver a seguinte saída:

? rsyslog.service - System Logging Service
   Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
   Active: active (running) since Tue 2024-08-22 04:28:55 UTC; 1min 31s ago
     Docs: man:rsyslogd(8)
           http://www.rsyslog.com/doc/
 Main PID: 724 (rsyslogd)
    Tasks: 4 (limit: 1114)
   CGroup: /system.slice/rsyslog.service
           ??724 /usr/sbin/rsyslogd -n

Aug 22 04:28:53 ubuntu2404 systemd[1]: Starting System Logging Service...
Aug 22 04:28:54 ubuntu2404 rsyslogd[724]: imuxsock: Acquired UNIX socket '/run/systemd/journal/syslog' (fd 3) from systemd.  [v8.32.0]
Aug 22 04:28:54 ubuntu2404 rsyslogd[724]: rsyslogd's groupid changed to 106
Aug 22 04:28:54 ubuntu2404 rsyslogd[724]: rsyslogd's userid changed to 102
Aug 22 04:28:54 ubuntu2404 rsyslogd[724]:  [origin software="rsyslogd" swVersion="8.32.0" x-pid="724" x-info="http://www.rsyslog.com"] start
Aug 22 04:28:55 ubuntu2404 systemd[1]: Started System Logging Service.

Configurar o Servidor Rsyslog

O Rsyslog agora está instalado e em execução. Em seguida, você deve configurá-lo para rodar em modo servidor. Você pode editar o arquivo /etc/rsyslog.conf.

nano /etc/rsyslog.conf

Primeiro, você precisará definir o protocolo, seja UDP ou TCP ou ambos.

Para usar conexões UDP e TCP ao mesmo tempo, procure e descomente as linhas abaixo:

$ModLoad imudp
$UDPServerRun 514
$ModLoad imtcp
$InputTCPServerRun 514

Em seguida, defina a sub-rede específica, IP ou domínio para limitar o acesso, conforme mostrado abaixo:

$AllowedSender TCP, 127.0.0.1, 192.168.0.0/24, *.example.com
$AllowedSender UDP, 127.0.0.1, 192.168.0.0/24, *.example.com

Em seguida, você deve criar um template para informar ao servidor Rsyslog como armazenar as mensagens syslog recebidas. Adicione as seguintes linhas logo antes da seção GLOBAL DIRECTIVES:

$template remote-incoming-logs, "/var/log/%HOSTNAME%/%PROGRAMNAME%.log" 
*.* ?remote-incoming-logs

Salve e feche o arquivo quando terminar. Em seguida, verifique a configuração do Rsyslog para quaisquer erros de sintaxe com o seguinte comando:

rsyslogd -f /etc/rsyslog.conf -N1

Você deve ver a seguinte saída:

rsyslogd: version 8.32.0, config validation run (level 1), master config /etc/rsyslog.conf
rsyslogd: End of config validation run. Bye.

Finalmente, reinicie o serviço Rsyslog com o seguinte comando:

systemctl restart rsyslog

Agora, verifique se o Rsyslog está ouvindo em TCP/UDP com o seguinte comando:

netstat -4altunp | grep 514

Você deve obter a seguinte saída:

tcp        0      0 0.0.0.0:514             0.0.0.0:*               LISTEN      1332/rsyslogd       
udp        0      0 0.0.0.0:514             0.0.0.0:*                           1332/rsyslogd

Configurar o Cliente Rsyslog

O servidor Rsyslog está instalado e configurado para receber logs de hosts remotos.

Agora, você deve configurar o cliente Rsyslog para enviar mensagens syslog para o servidor Rsyslog remoto.

Faça login na máquina Cliente e abra o arquivo de configuração do Rsyslog conforme mostrado abaixo:

nano /etc/rsyslog.conf

Adicione as seguintes linhas ao final do arquivo:

##Ativar o envio de logs via UDP adicione a seguinte linha:

*.* @192.168.0.101:514


##Ativar o envio de logs via TCP adicione a seguinte linha:

*.* @@192.168.0.101:514

##Definir fila de disco quando o servidor rsyslog estiver fora:

$ActionQueueFileName queue
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1

Salve e feche o arquivo. Em seguida, reinicie o servidor Rsyslog para aplicar as alterações de configuração:

systemtcl restart rsyslog

Visualizar Log do Cliente

Neste ponto, o cliente Rsyslog está configurado para enviar seus logs para o servidor Rsyslog.

Faça login no servidor Rsyslog e verifique o diretório /var/log. Você deve ver a entrada com o nome do host de suas máquinas cliente, incluindo vários arquivos de log:

ls /var/log/rsyslog-client/

Saída:

CRON.log  kernel.log  rsyslogd-2039.log  rsyslogd.log  sudo.log  wpa_supplicant.log

Conclusão

No artigo acima, aprendemos como instalar e configurar o servidor Rsyslog em um servidor Ubuntu 24.04 e como configurar o cliente Rsyslog para enviar logs para o servidor Rsyslog. Sinta-se à vontade para me perguntar se você tiver alguma dúvida.