Como Configurar um Sistema de Log Centralizado com Graylog no Debian 11

Graylog é uma plataforma de gerenciamento de logs gratuita e de código aberto para capturar, armazenar e permitir a análise em tempo real de seus dados e logs. É escrito em Java e construído sobre outros softwares de código aberto como MongoDB e Elasticsearch. Graylog fornece uma das plataformas de gerenciamento de logs centralizado mais eficientes, rápidas e flexíveis.

Usando o Graylog, você pode enviar e analisar tanto dados estruturados quanto não estruturados de quase qualquer fonte de dados.

Neste tutorial, mostraremos como instalar e configurar o Graylog como um sistema de logging centralizado no sistema Debian 11. Além disso, mostraremos como configurar o servidor web Nginx como um proxy reverso para o servidor Graylog.

Pré-requisitos

Um servidor Linux Debian 11 - com pelo menos 4GB de RAM.
Um usuário não-root com privilégios sudo ou de administrador.

Instalar Dependências de Pacotes Básicos

Na primeira etapa deste tutorial, você instalará algumas dependências de pacotes básicos, incluindo Java e GnuPG.

Antes de começar a instalar qualquer pacote, execute o comando apt abaixo para atualizar e refrescar seu repositório Debian atual.

sudo apt update

Agora instale algumas dependências de pacotes para o Graylog usando o comando abaixo.

sudo apt install apt-transport-https openjdk-11-jre-headless uuid-runtime pwgen dirmngr gnupg wget

Digite Y para confirmar a instalação e pressione ENTER para continuar.

instalar dependências básicas

Após a conclusão da instalação, passe para a próxima etapa para instalar outra dependência do Graylog, MongoDB e Elasticsearch.

Instalando o MongoDB

O Graylog usa o banco de dados NoSQL MongoDB para armazenar todas as informações de configuração do Graylog, streams, alertas, usuários, streams em cache, etc. Todas as informações que você vê nas interfaces web do Graylog são armazenadas no banco de dados NoSQL MongoDB, exceto pelos logs em si. A versão atual do Graylog requer MongoDB v4 até v4.4.

Execute os comandos abaixo para adicionar a chave GPG do MongoDB e o repositório ao seu servidor Debian.

wget -qO - https://www.mongodb.org/static/pgp/server-4.2.asc | sudo apt-key add -  
echo "deb http://repo.mongodb.org/apt/debian buster/mongodb-org/4.2 main" | sudo tee /etc/apt/sources.list.d/mongodb-org-4.2.list

Atualize seu repositório Debian usando o seguinte comando.

sudo apt update

Como você pode ver na captura de tela abaixo, o repositório MongoDB foi adicionado ao seu servidor Debian.

adicionar repositório mongodb

Em seguida, instale os pacotes do MongoDB usando o comando apt abaixo.

sudo apt install -y mongodb-org

A instalação do banco de dados MongoDB começará.

instalar mongodb

Após a conclusão da instalação do MongoDB, execute o seguinte comando para recarregar o gerenciador systemd. Isso é necessário antes de iniciar o serviço MongoDB.

sudo systemctl daemon-reload

Agora execute o comando abaixo para habilitar e reiniciar o serviço MongoDB. O serviço MongoDB será iniciado e será executado automaticamente na inicialização do sistema.

sudo systemctl enable mongod.service  
sudo systemctl restart mongod.service

Verifique o serviço MongoDB usando o seguinte comando.

sudo systemctl status mongod

Como você pode ver na captura de tela a seguir, o serviço MongoDB está em execução e está habilitado.

iniciar e verificar mongodb

Agora passe para a próxima etapa para instalar o Elasticsearch.

Instalando o Elasticsearch

Após instalar o banco de dados NoSQL MongoDB, agora você precisará instalar o Elasticsearch. O servidor Graylog usa o Elasticsearch como um mecanismo de busca para pesquisar logs. Na versão atual, o Graylog requer o Elasticsearch v6.8 ou v7.x até v7.10.

Antes de instalar o Elasticsearch, execute o seguinte comando para adicionar a chave GPG do Elasticsearch e o repositório ao seu sistema Debian.

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -  
echo "deb https://artifacts.elastic.co/packages/oss-7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

Agora atualize e refresque seu repositório Debian.

sudo apt update

Na captura de tela abaixo, o repositório Elasticsearch foi adicionado ao servidor Debian.

adicionar repositório elasticsearch

Em seguida, instale os pacotes do Elasticsearch usando o comando apt abaixo.

sudo apt install elasticsearch-oss

A instalação do Elasticsearch começará.

instalar elasticsearch

Após a conclusão da instalação, execute o comando abaixo para adicionar a configuração ao arquivo de configuração do Elasticsearch /etc/elasticsearch/elasticsearch.yml. A seguinte configuração criará um novo cluster Elasticsearch com o nome “ graylog “ e desabilitará a criação automática de um índice no Elasticsearch.

sudo tee -a /etc/elasticsearch/elasticsearch.yml > /dev/null << EOT  
cluster.name: graylog  
action.auto_create_index: false  
EOT

Antes de iniciar o serviço Elasticsearch, execute o comando abaixo para recarregar o gerenciador systemd.

sudo systemctl daemon-reload

Agora execute os seguintes comandos para habilitar e reiniciar o serviço Elasticsearch. Isso adicionará o Elasticsearch à inicialização do sistema e iniciará o serviço.

sudo systemctl enable elasticsearch.service  
sudo systemctl restart elasticsearch.service

Por último, verifique o serviço Elasticsearch usando o comando abaixo.

sudo systemctl status elasticsearch.service

Na captura de tela abaixo, você verá que o serviço Elasticsearch está em execução e habilitado.

iniciar e verificar elasticsearch

Além disso, você também pode verificar a instalação do Elasticsearch acessando o Elasticsearch usando curl. O Elasticsearch está rodando na porta padrão 9200, então execute o comando curl abaixo.

curl http://localhost:9200/

Agora você verá a mensagem de saída como a seguinte. O Elasticsearch v7.x com o cluster nomeado graylog está instalado no servidor Debian.

verificar elasticsearch

Neste ponto, você está pronto para instalar o servidor Graylog no servidor Debian.

Instalando e Configurando o Servidor Graylog

Para iniciar a instalação do Graylog, você precisará baixar o arquivo .deb do repositório Graylog e instalá-lo usando o seguinte comando.

wget https://packages.graylog2.org/repo/packages/graylog-4.2-repository_latest.deb  
sudo dpkg -i graylog-4.2-repository_latest.deb

Agora atualize e refresque seu repositório Debian.

sudo apt update

Abaixo você pode ver que o repositório Graylog foi adicionado ao servidor Debian.

adicionar repositório graylog

Em seguida, instale os pacotes do Graylog no seu servidor Debian usando o comando apt abaixo.

sudo apt install graylog-server graylog-enterprise-plugins graylog-integrations-plugins graylog-enterprise-integrations-plugins

A instalação do Graylog agora começará.

Após a conclusão da instalação, execute o seguinte comando para gerar o Graylog password_secret que será usado para criptografia e salting de senha. O Graylog password_secret deve ser o mesmo se você estiver executando um cluster Graylog com vários nós. Além disso, você precisará de uma string e número aleatórios com no mínimo 65 para o Graylog password_secret.

pwgen -N 1 -s 96

Agora copie a string aleatória gerada para o password_secret do Graylog para suas anotações.

Em seguida, execute o comando abaixo para gerar a senha criptografada com sha256. Esta senha será usada como a senha de administração do Graylog.

echo -n "Digite a Senha: " && head -1

Digite sua senha para a senha de administração do Graylog. E você verá a senha criptografada gerada sha256. Copie a senha criptografada para suas anotações.

Em seguida, edite a configuração do servidor Graylog /etc/graylog/server/server.conf usando o editor nano.

sudo nano /etc/graylog/server/server.conf

Copie e cole o password_secret gerado do Graylog e a senha de administração do Graylog em root_password_sha2 como abaixo.

password_secret = Eqq4M8EHpKbGfgi6C05t19hJ5WmF3nkVS8yjwclYHtvwsTXRulNHEsaWuy85QUTNIUc6b2ovfRjvR7yD5kwNTPAJCCw39T3d  
root_password_sha2 = 05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223

Salve e feche o arquivo quando terminar.

Agora execute o comando abaixo para recarregar o gerenciador systemd antes de iniciar o serviço do servidor Graylog.

sudo systemctl daemon-reload

Agora habilite e inicie o serviço do servidor Graylog usando o comando abaixo.

sudo systemctl enable graylog-server.service  
sudo systemctl start graylog-server.service

O servidor Graylog estará em funcionamento, verifique usando o seguinte comando.

sudo systemctl status graylog-server.service

Na captura de tela abaixo, você verá que o serviço do servidor Graylog está em execução e habilitado.

Você agora completou a instalação do Graylog, que está rodando no localhost padrão com a porta 9000.

`Configurar o Nginx como um Proxy Reverso`

Após completar a instalação e configuração do servidor Graylog, agora você instalará e configurará o servidor web Nginx como um proxy reverso para o servidor Graylog. Isso permite que você execute o Graylog com seu nome de domínio.

Instale o pacote Nginx no seu servidor Debian usando o seguinte comando.

sudo apt install nginx -y

A instalação começará.

Após a conclusão da instalação, crie um novo host virtual ou blocos de servidor do Nginx /etc/nginx/sites-available/graylog.conf usando o editor nano.

sudo nano /etc/nginx/sites-available/graylog.conf

Adicione a seguinte configuração do Nginx. Isso habilitará o Nginx como um proxy reverso para o servidor Graylog que está rodando em http://127.0.0.1:9000/.

server  
{  
    listen 80 default_server;  
    listen [::]:80 default_server ipv6only=on;  
    server_name graylog.example.org;  
  
    location / {  
      proxy_set_header Host $http_host;  
      proxy_set_header X-Forwarded-Host $host;  
      proxy_set_header X-Forwarded-Server $host;  
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;  
      proxy_set_header X-Graylog-Server-URL http://$server_name/;  
      proxy_pass       http://127.0.0.1:9000;  
    }  
}

Salve e feche o arquivo quando terminar.

Em seguida, execute o comando abaixo para ativar a configuração graylog.conf. Depois verifique a configuração do nginx.

sudo ln -s /etc/nginx/sites-available/graylog.conf /etc/nginx/sites-enabled/  
sudo nginx -t

Certifique-se de obter a mensagem de saída como teste bem-sucedido.

Por último, reinicie o serviço Nginx para aplicar uma nova configuração de host virtual usando o seguinte comando.

sudo systemctl restart nginx

Agora abra seu navegador web e visite o nome de domínio para a URL de instalação do Graylog.

http://graylog.howtoforge.local/

Você verá a página de login do Graylog abaixo. Digite o usuário admin padrão com sua senha (a root_password_sha2) e clique no botão Log In.

Após fazer login, você verá o painel do Graylog como abaixo.

Você agora completou a execução do Graylog sob o proxy reverso Nginx.

`Conclusão`

Parabéns! você agora completou a instalação e configuração do servidor Graylog no servidor Debian 11. Além disso, você completou a configuração do Nginx como um proxy reverso para o servidor Graylog.