Como Configurar o Servidor Rsyslog no Ubuntu 18.04 LTS

Os logs são muito úteis para analisar e solucionar quaisquer problemas relacionados ao sistema e aplicativos no Linux. Por padrão, todos os arquivos de log estão localizados dentro do diretório /var/log em sistemas operacionais baseados em Linux. Existem vários tipos de arquivos de log, incluindo cron, kernel, usuários, segurança e a maioria desses arquivos é controlada pelo serviço Rsyslog.

O Rsyslog é um sistema poderoso e seguro para processamento de logs. O servidor Rsyslog recebe logs pela rede de vários servidores físicos ou virtualizados e monitora a saúde de diferentes serviços. Com o servidor Rsyslog, você pode monitorar logs de outros servidores, dispositivos de rede e aplicativos remotos a partir de um local centralizado.

Neste tutorial, explicaremos como configurar o servidor Rsyslog no servidor Ubuntu 18.04.

Pré-requisitos

Dois servidores rodando Ubuntu 18.04.
Um endereço IP estático 192.168.0.101 está configurado na máquina do servidor Rsyslog e 192.168.0.102 está configurado na máquina do cliente Rsyslog.
Uma senha de root está configurada em ambos os servidores.

Instalar Rsyslog

Por padrão, o Rsyslog está instalado no servidor Ubuntu 18.04. Se não estiver instalado, você pode instalá-lo executando o seguinte comando:

apt-get install rsyslog -y

Após instalar o Rsyslog, você pode verificar a versão do Rsyslog com o seguinte comando:

rsyslogd -v

Você deve obter a seguinte saída:

rsyslogd 8.32.0, compilado com:
    PLATFORM:           x86_64-pc-linux-gnu
    PLATFORM (lsb_release -d): 
    FEATURE_REGEXP:         Sim
    GSSAPI Kerberos 5 support:  Sim
    FEATURE_DEBUG (debug build, slow code):     Não
    32bit Atomic operations supported:  Sim
    64bit Atomic operations supported:  Sim
    memory allocator:       system default
    Runtime Instrumentation (slow code):    Não
    uuid support:           Sim
    systemd support:        Sim
    Number of Bits in RainerScript integers: 64

Veja http://www.rsyslog.com para mais informações.

Você também pode verificar o status do Rsyslog com o seguinte comando:

systemctl status rsyslog

Você deve ver a seguinte saída:

? rsyslog.service - System Logging Service
   Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
   Active: active (running) since Tue 2019-10-22 04:28:55 UTC; 1min 31s ago
     Docs: man:rsyslogd(8)
           http://www.rsyslog.com/doc/
 Main PID: 724 (rsyslogd)
    Tasks: 4 (limit: 1114)
   CGroup: /system.slice/rsyslog.service
           ??724 /usr/sbin/rsyslogd -n

Oct 22 04:28:53 ubuntu1804 systemd[1]: Starting System Logging Service...
Oct 22 04:28:54 ubuntu1804 rsyslogd[724]: imuxsock: Acquired UNIX socket '/run/systemd/journal/syslog' (fd 3) from systemd.  [v8.32.0]
Oct 22 04:28:54 ubuntu1804 rsyslogd[724]: rsyslogd's groupid changed to 106
Oct 22 04:28:54 ubuntu1804 rsyslogd[724]: rsyslogd's userid changed to 102
Oct 22 04:28:54 ubuntu1804 rsyslogd[724]:  [origin software="rsyslogd" swVersion="8.32.0" x-pid="724" x-info="http://www.rsyslog.com"] start
Oct 22 04:28:55 ubuntu1804 systemd[1]: Started System Logging Service.

Configurar o Servidor Rsyslog

O Rsyslog está agora instalado e em execução. Em seguida, você precisará configurá-lo para funcionar em modo servidor. Você pode fazer isso editando o arquivo /etc/rsyslog.conf.

nano /etc/rsyslog.conf

Primeiro, você precisará definir o protocolo, seja UDP ou TCP ou ambos.

Para usar conexões UDP e TCP ao mesmo tempo, procure e descomente as linhas abaixo:

$ModLoad imudp
$UDPServerRun 514
$ModLoad imtcp
$InputTCPServerRun 514

Em seguida, defina a sub-rede específica, IP ou domínio para limitar o acesso, conforme mostrado abaixo:

$AllowedSender TCP, 127.0.0.1, 192.168.0.0/24, *.example.com
$AllowedSender UDP, 127.0.0.1, 192.168.0.0/24, *.example.com

Em seguida, você precisará criar um template para informar ao servidor Rsyslog como armazenar as mensagens syslog recebidas. Adicione as seguintes linhas logo antes da seção GLOBAL DIRECTIVES:

$template remote-incoming-logs, "/var/log/%HOSTNAME%/%PROGRAMNAME%.log" 
*.* ?remote-incoming-logs

Salve e feche o arquivo quando terminar. Em seguida, verifique a configuração do Rsyslog para quaisquer erros de sintaxe com o seguinte comando:

rsyslogd -f /etc/rsyslog.conf -N1

Você deve ver a seguinte saída:

rsyslogd: version 8.32.0, config validation run (level 1), master config /etc/rsyslog.conf
rsyslogd: End of config validation run. Bye.

Finalmente, reinicie o serviço Rsyslog com o seguinte comando:

systemctl restart rsyslog

Agora, verifique se o Rsyslog está ouvindo em TCP/UDP com o seguinte comando:

netstat -4altunp | grep 514

Você deve obter a seguinte saída:

tcp        0      0 0.0.0.0:514             0.0.0.0:*               LISTEN      1332/rsyslogd       
udp        0      0 0.0.0.0:514             0.0.0.0:*                           1332/rsyslogd

Configurar o Cliente Rsyslog

O servidor Rsyslog está instalado e configurado para receber logs de hosts remotos.

Agora, você precisará configurar o cliente Rsyslog para enviar mensagens syslog para o servidor Rsyslog remoto.

Faça login na máquina Cliente e abra o arquivo de configuração do Rsyslog conforme mostrado abaixo:

nano /etc/rsyslog.conf

Adicione as seguintes linhas ao final do arquivo:

##Ativar o envio de logs via UDP adicione a seguinte linha:

*.* @192.168.0.101:514


##Ativar o envio de logs via TCP adicione a seguinte linha:

*.* @@192.168.0.101:514

##Definir fila de disco quando o servidor rsyslog estiver fora:

$ActionQueueFileName queue
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1

Salve e feche o arquivo. Em seguida, reinicie o servidor Rsyslog para aplicar as alterações de configuração:

systemtcl restart rsyslog

Ver Log do Cliente

Neste ponto, o cliente Rsyslog está configurado para enviar seus logs para o servidor Rsyslog.

Agora, faça login no servidor Rsyslog e verifique o diretório /var/log. Você deve ver a entrada com o nome do host de suas máquinas clientes, incluindo vários arquivos de log:

ls /var/log/rsyslog-client/

Saída:

CRON.log  kernel.log  rsyslogd-2039.log  rsyslogd.log  sudo.log  wpa_supplicant.log

Conclusão

No artigo acima, aprendemos como instalar e configurar o servidor Rsyslog no servidor Ubuntu 18.04. Também aprendemos como configurar o cliente Rsyslog para enviar logs para o servidor Rsyslog. Sinta-se à vontade para me perguntar se você tiver alguma dúvida.