Como Configurar Registro Remoto com Rsyslog no Debian 12

Rsyslog é um daemon de sistema de registro de código aberto que é usado para coletar, filtrar, armazenar e encaminhar mensagens de log de sistemas operacionais e aplicativos. É um sistema de registro poderoso e flexível que suporta múltiplos protocolos, incluindo TCP, UDP e RELP (Protocolo de Registro de Eventos Confiável). Você pode usar o Rsyslog para centralizar logs para seus servidores, aplicativos e bancos de dados.

Este guia mostrará como instalar o rsyslog e configurar o registro remoto no servidor Debian 12. Você também configurará um servidor Linux para enviar logs remotamente para o servidor Rsyslog.

Pré-requisitos

Para começar com este guia, você precisa do seguinte:

• Um servidor Debian 12
• Um usuário não-root com privilégios de administrador
• Uma máquina Linux como cliente para testes

Instalando o Rsyslog

Antes de começar, você precisa instalar o Rsyslog no seu servidor Debian. Neste passo, você instalará o Rsyslog através do APT, depois iniciará e habilitará o serviço Rsyslog.

Primeiro, execute o comando abaixo para atualizar o índice de pacotes do Debian e instalar o Rsyslog no seu sistema. Digite ‘ Y ‘ para confirmar a instalação.

sudo apt update  
sudo apt install rsyslog

Após a instalação ser concluída, execute o comando ‘ systemctl ‘ abaixo para iniciar e habilitar o servidor ‘ rsyslog ‘. Em seguida, verifique para garantir que ele está em execução.

sudo systemctl enable --now rsyslog  
sudo systemctl status rsyslog

Na saída a seguir, você pode ver que o Rsyslog está em execução e habilitado.

Configurando o UFW (Firewall Descomplicado)

Após o Rsyslog ser instalado, você instalará e configurará o UFW (Firewall Descomplicado). Você abrirá a porta ‘22’ para o serviço OpenSSH e a porta ‘514’ para o Rsyslog. E então você iniciará e habilitará o serviço UFW.

Para instalar o UFW, execute o seguinte comando ‘ apt ‘. Digite ‘ Y ‘ para confirmar a instalação.

sudo apt install ufw

Após a instalação ser concluída, execute o seguinte comando ‘ufw’ para habilitar o perfil ‘ OpenSSH ‘ e permitir o acesso à porta ‘514’. O perfil ‘ OpenSSH ‘ permitirá o acesso SSH e a porta ‘ 514 ‘ é a porta do syslog.

sudo ufw allow OpenSSH  
sudo ufw allow 514

Agora inicie e habilite o UFW com o comando abaixo. Digite ‘ y ‘ para confirmar e você receberá uma saída como ‘ Firewall está ativo e habilitado na inicialização do sistema ‘.

sudo ufw enable

Por último, verifique o status do UFW com o seguinte comando.

sudo ufw status

Na saída abaixo, você pode ver o UFW com o status ativo, perfil OpenSSH e porta ‘ 514 ‘ habilitada.

Rsyslog para receber logs de Servidor Remoto

Agora que você instalou o Rsyslog e configurou o UFW, está pronto para configurar o Rsyslog para receber logs de servidores remotos. Para isso, você precisa modificar o arquivo ‘/etc/rsyslog.conf’ e configurar:

1. Habilitar o módulo ‘ imudp ‘ para receber logs de servidores remotos via UDP
2. Opcional, habilitar o ‘ imtcp ‘ para receber logs via TCP
3. Habilitar a opção ‘ AllowedSender ‘ para permitir que sub-redes específicas enviem logs remotamente
4. Adicionar um template personalizado para o Rsyslog
5. Verificar a configuração do Rsyslog
6. Iniciar, habilitar e verificar o serviço Rsyslog

Vamos começar.

Primeiro, edite o arquivo ‘ /etc/rsyslog.conf ‘ usando o seguinte editor ‘ nano ‘.

sudo nano /etc/rsyslog.conf

Descomente as seguintes linhas para habilitar o módulo ‘ imudp ‘ e habilitar o syslog para registrar no servidor Rsyslog.

# fornece recepção de syslog UDP  
module(load="imudp")  
input(type="imudp" port="514")

Além disso, se você precisar habilitar o syslog via TCP, habilite o módulo ‘ imtcp ‘ como o seguinte:

# fornece recepção de syslog TCP  
module(load="imtcp")  
input(type="imtcp" port="50514")

Agora adicione a opção ‘ AllowedSender ‘ e insira sua sub-rede de rede que está autorizada a enviar mensagens Syslog para seu servidor Rsyslog.

# $AllowedSender - especifica quais sistemas remotos estão autorizados a enviar mensagens syslog para rsyslogd  
$AllowedSender UDP, 192.168.10.0/24, [::1]/128, *.howtoforge.local, db.howtoforge.local

Insira a seguinte configuração para configurar um template para arquivos de log dos servidores remotos. Neste exemplo, os arquivos de log dos servidores remotos serão armazenados no diretório ‘ /var/log/servers/server-ip ‘.

#Template personalizado para gerar o nome do arquivo de log dinamicamente com base no endereço IP do cliente.  
$template RemInputLogs, "/var/log/servers/%FROMHOST-IP%/%PROGRAMNAME%.log"  
*.?RemInputLogs

Salve o arquivo e saia do editor quando terminar.

Em seguida, execute o comando ‘ rsyslogd ‘ abaixo para verificar a configuração do Rsyslog e garantir que você tenha a configuração correta.

rsyslogd -f /etc/rsyslog.conf -N1

Quando não ocorrer erro, execute o comando ‘ systemctl ‘ abaixo para reiniciar o serviço ‘ rsyslog ‘ e aplicar suas alterações.

sudo systemctl restart rsyslog

Por último, verifique o status do serviço ‘ rsyslog ‘ para garantir que ele está em execução.

sudo systemctl status rsyslog

Na saída abaixo, você pode ver que o ‘ rsyslog ‘ está em execução.

Além disso, verifique a porta ‘ 514 ‘ no seu servidor para garantir que o Rsyslog está em execução.

ss -tulpn | grep 514

Você pode ver abaixo que a porta UDP ‘ 514 ‘ está sendo usada pelo Rsyslog.

Enviando logs para o servidor Rsyslog

Agora que você configurou o registro remoto com o Rsyslog no seu servidor Debian, vamos tentar enviar logs do servidor ‘ 192.168.10.41 ‘ para o servidor ‘ 192.168.10.10 ‘. Para fazer isso, você precisa do seguinte:

• Instalar o pacote Rsyslog na sua máquina
• Editar a configuração do Rsyslog e definir quais logs serão enviados para o servidor Rsyslog remoto
• Opcional, configurar o buffer de fila de disco para o Rsyslog

Instale o pacote ‘rsyslog’ com o comando ‘ apt ‘ abaixo. Digite ‘ Y ‘ para confirmar a instalação.

sudo apt install rsyslog

Agora abra o arquivo de configuração padrão ‘ /etc/rsyslog.conf ‘ com o editor ‘ nano ‘.

sudo nano /etc/rsyslog.conf

Adicione a seguinte configuração para enviar logs para o servidor Rsyslog ‘ 192.168.10.10 ‘. Neste caso, enviaremos logs de kernel, cron e autenticação para o servidor Rsyslog.

# Enviar logs para um servidor syslog remoto via UDP  
auth,[email protected]:514  
[email protected]:514  
[email protected]:514

Agora adicione o seguinte para configurar um buffer de fila para o Rsyslog.

# Definir Buffer de Fila em Disco caso o servidor fique fora  
$ActionQueueFileName queue # define um nome de arquivo para assistência em disco.  
$ActionQueueMaxDiskSpace 1g # O tamanho máximo que todos os arquivos de fila juntos usarão no disco.  
$ActionQueueSaveOnShutdown on # especifica que os dados devem ser salvos na desligamento  
$ActionQueueType LinkedList # mantém mensagens enfileiradas na memória, o que torna o processo muito rápido.  
$ActionResumeRetryCount -1 # impede que o rsyslog perca mensagens ao tentar se conectar se o servidor não estiver respondendo,

Salve o arquivo e saia do editor.

Em seguida, execute o comando ‘ rsyslogd ‘ abaixo para verificar e validar sua configuração do Rsyslog.

rsyslogd -f /etc/rsyslog.conf -N1

Quando não ocorrer erro, execute o comando ‘ systemctl ‘ abaixo para reiniciar o Rsyslog e verificar para garantir que ele está em execução.

sudo systemctl restart rsyslogd  
sudo systemctl status rsyslogd

Você pode ver abaixo que o serviço Rsyslog está em execução e seus logs serão enviados para o servidor Rsyslog em ‘ 192.168.10.10 ‘.

Verificando arquivos de log no servidor Rsyslog

Para garantir que seu Rsyslog está funcionando, você precisa verificar o diretório de logs que você configurou no template. Neste exemplo, os arquivos de log dos servidores remotos serão armazenados no diretório ‘ /var/log/servers ‘.

Verifique o diretório de logs ‘ /var/log/servers ‘ com o comando abaixo. Isso mostrará o diretório de cada servidor.

ls /var/log/servers

Agora verifique o diretório de logs do seu servidor, que está armazenado no diretório ‘ /var/log/servers/server-ip ‘. Você verá que múltiplos arquivos de log estão disponíveis no servidor Rsyslog.

Você pode agora verificar os arquivos de log com o comando ‘ cat ‘ ou ‘ tail ‘ para ver detalhes dos logs.

cat /var/log/servers/logfile.log  
tail -f /var/log/servers/logfile.log

Conclusão

Parabéns! Você completou a instalação do Rsyslog no servidor Debian 12. Você também configurou o registro remoto via Rsyslog e enviou o log para o servidor via syslog UDP. Para o próximo passo, você também pode configurar os módulos de entrada TCP e UDP e integrá-los com sistemas de log como Rsyslog ou Logstash.