Como Configurar o Servidor Rsyslog no Debian 11

Rsyslog é um software de registro gratuito e de código aberto que encaminha todos os arquivos de log para o servidor de log centralizado através da rede IP. Ele ajuda os administradores de sistema a monitorar todos os servidores a partir de um ponto central. O Rsyslog funciona em um modelo cliente/servidor, recebendo logs do cliente remoto na porta 514 através do protocolo TCP/UDP.

Neste post, vamos mostrar como configurar o servidor Rsyslog no Debian 11.

Pré-requisitos

Dois servidores executando Debian 11.
Uma senha de root configurada no servidor.

Instalar Rsyslog

Primeiro, você precisará instalar o pacote do servidor Rsyslog na máquina do servidor. Você pode instalá-lo usando o seguinte comando:

apt-get install rsyslog -y

Após a instalação, verifique o status do Rsyslog usando o seguinte comando:

systemctl status rsyslog

Você deve ver a seguinte saída:

? rsyslog.service - System Logging Service
     Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
     Active: active (running) since Sun 2021-10-03 13:35:32 UTC; 1h 44min ago
TriggeredBy: ? syslog.socket
       Docs: man:rsyslogd(8)
             man:rsyslog.conf(5)
             https://www.rsyslog.com/doc/
   Main PID: 283 (rsyslogd)
      Tasks: 4 (limit: 2341)
     Memory: 5.0M
        CPU: 90ms
     CGroup: /system.slice/rsyslog.service
             ??283 /usr/sbin/rsyslogd -n -iNONE

Oct 03 13:35:32 debian11 systemd[1]: Starting System Logging Service...
Oct 03 13:35:32 debian11 rsyslogd[283]: imuxsock: Acquired UNIX socket '/run/systemd/journal/syslog' (fd 3) from systemd.  [v8.2102.0]
Oct 03 13:35:32 debian11 rsyslogd[283]: [origin software="rsyslogd" swVersion="8.2102.0" x-pid="283" x-info="https://www.rsyslog.com"] start
Oct 03 13:35:32 debian11 systemd[1]: Started System Logging Service.
Oct 03 13:35:34 debian11 systemd[1]: rsyslog.service: Sent signal SIGHUP to main process 283 (rsyslogd) on client request.
Oct 03 13:45:33 debian11 rsyslogd[283]: [origin software="rsyslogd" swVersion="8.2102.0" x-pid="283" x-info="https://www.rsyslog.com"] rsyslog>

Configurar Rsyslog

Em seguida, você precisará configurar o Rsyslog para rodar em modo servidor. Você pode fazer isso editando o arquivo de configuração principal do Rsyslog:

nano /etc/rsyslog.conf

Descomente as seguintes linhas:

# provides UDP syslog reception
module(load="imudp")
input(type="imudp" port="514")

# provides TCP syslog reception
module(load="imtcp")
input(type="imtcp" port="514")

Em seguida, adicione as seguintes linhas para definir o template para armazenar logs recebidos dos sistemas clientes:

$template remote-incoming-logs,"/var/log/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?remote-incoming-logs

Salve e feche o arquivo e reinicie o serviço Rsyslog para aplicar as alterações:

systemctl restart rsyslog

Neste ponto, o Rsyslog está iniciado e escutando na porta 514. Você pode verificar isso usando o seguinte comando:

ss -tunlp | grep 514

Você deve ver a seguinte saída:

udp   UNCONN 0      0                              0.0.0.0:514       0.0.0.0:*    users:(("rsyslogd",pid=26276,fd=6))                                                                                                                                                                                                                                                                             
udp   UNCONN 0      0                                 [::]:514          [::]:*    users:(("rsyslogd",pid=26276,fd=7))                                                                                                                                                                                                                                                                             
tcp   LISTEN 0      25                             0.0.0.0:514       0.0.0.0:*    users:(("rsyslogd",pid=26276,fd=8))                                                                                                                                                                                                                                                                             
tcp   LISTEN 0      25                                [::]:514          [::]:*    users:(("rsyslogd",pid=26276,fd=9))

Configurar o Firewall para Rsyslog

Em seguida, você precisará permitir a porta 514 através do firewall UFW. Você pode permitir isso com o seguinte comando:

ufw allow 514/tcp  
ufw allow 514/udp

Em seguida, recarregue o firewall para aplicar as alterações:

ufw reload

Configurar o Cliente Rsyslog

Em seguida, você precisará configurar o cliente Rsyslog para enviar os arquivos de log para o servidor Rsyslog. Você pode fazer isso editando o arquivo de configuração principal do Rsyslog.

nano /etc/rsyslog.conf

Adicione as seguintes linhas no final do arquivo:

#Enable sending system logs over UDP to rsyslog server
*.* @rsyslog-server-ip:514

#Enable sending system logs over TCP to rsyslog server
*.* @@rsyslog-server-ip:514

Além disso, adicione as seguintes linhas para definir a fila em disco quando o servidor rsyslog estiver fora do ar:

$ActionQueueFileName queue
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1

Salve e feche o arquivo e reinicie o serviço Rsyslog para aplicar as alterações:

systemctl restart rsyslog

Verificar o Arquivo de Log do Cliente

Todos os arquivos de log do cliente são armazenados no diretório /var/log na máquina do servidor.

Você pode verificar isso com o seguinte comando:

ls -l /var/log/

Você deve ver o arquivo de log do cliente que corresponde ao nome do host do sistema cliente:

alternatives.log    auth.log.2.gz  daemon.log       debian11    dpkg.log    kern.log.1     messages.1     private      syslog.3.gz
clientpc            auth.log.3.gz  daemon.log.1     debug   dpkg.log.1  kern.log.2.gz  messages.2.gz  runit        syslog.4.gz
apt         btmp       daemon.log.3.gz  debug.2.gz  icinga2     kern.log.4.gz  messages.4.gz  syslog
auth.log.1      csm.log    dbconfig-common  debug.4.gz  kern.log    messages       ntpstats   syslog.2.gz

Como você pode ver, clientpc é o diretório de log do sistema cliente.

Conclusão

No guia acima, explicamos como configurar o servidor e o cliente Rsyslog no Debian 11. Agora você pode monitorar seus clientes a partir de um local central. Sinta-se à vontade para me perguntar se você tiver alguma dúvida.