Adicionar configuracao-rsyslog-server

configuracao-rsyslog-server

@@ -0,0 +1,128 @@
+# Configuração do servidor rsyslog para receber logs remotos
+
+Este tutorial mostra como configurar um servidor Linux com `rsyslog` para receber logs enviados por outros hosts da rede.
+
+Neste exemplo, o servidor ficará escutando conexões UDP na porta:
+
+514
+
+1. Atualizar os repositórios
+
+Atualize a lista de pacotes:
+
+apt update
+
+2. Instalar o rsyslog
+
+Instale o serviço:
+
+apt install rsyslog
+
+Confira se o serviço foi instalado:
+
+systemctl status rsyslog
+
+3. Habilitar leitura dos logs do journald
+
+Crie o arquivo:
+
+/etc/rsyslog.d/journald.conf
+
+Utilizando:
+
+cat <<'EOF' > /etc/rsyslog.d/journald.conf
+module(load="imjournal" StateFile="imjournal.state")
+EOF
+
+Essa configuração permite que o rsyslog também leia as mensagens armazenadas pelo systemd-journald.
+
+4. Desabilitar o módulo imuxsock
+
+Comente a linha:
+
+module(load="imuxsock") # provides support for local system logging
+
+Execute:
+
+sed -i 's|^module(load="imuxsock")|#module(load="imuxsock")|' /etc/rsyslog.conf
+
+Depois confira:
+
+grep -n 'imuxsock' /etc/rsyslog.conf
+
+O resultado deve ficar semelhante a:
+
+#module(load="imuxsock") # provides support for local system logging
+
+5. Habilitar recebimento de logs via UDP
+
+No arquivo:
+
+/etc/rsyslog.conf
+
+localize as linhas:
+
+#module(load="imudp")
+#input(type="imudp" port="514")
+
+Descomente utilizando:
+
+sed -i 's|^#module(load="imudp")|module(load="imudp")|' /etc/rsyslog.conf
+sed -i 's|^#input(type="imudp" port="514")|input(type="imudp" port="514")|' /etc/rsyslog.conf
+
+Depois confira:
+
+grep -nE 'imudp|port="514"' /etc/rsyslog.conf
+
+O resultado esperado é:
+
+module(load="imudp")
+input(type="imudp" port="514")
+
+Essas duas diretivas fazem com que o rsyslog escute mensagens syslog recebidas via UDP na porta 514.
+
+6. Validar a configuração
+
+Antes de reiniciar o serviço, valide a sintaxe:
+
+rsyslogd -N1
+
+Se não houver erros, a configuração pode ser aplicada.
+
+7. Reiniciar o rsyslog
+
+Reinicie o serviço:
+
+systemctl restart rsyslog
+
+Confira o estado:
+
+systemctl status rsyslog --no-pager
+
+8. Confirmar que a porta UDP 514 está aberta
+
+Utilize:
+
+ss -lunp | grep ':514'
+
+O servidor deverá apresentar o rsyslogd escutando na porta UDP 514.
+
+Exemplo:
+
+UNCONN 0 0 0.0.0.0:514 0.0.0.0:* users:(("rsyslogd",pid=...,fd=...))
+
+Dependendo da configuração, também poderá aparecer uma entrada IPv6.
+
+9. Testar o recebimento de logs
+
+Em um cliente já configurado para encaminhar logs para este servidor, gere uma mensagem:
+
+logger "Teste de envio remoto para servidor rsyslog"
+
+No servidor, acompanhe os logs:
+
+tail -f /var/log/syslog
+
+Ou pesquise pela mensagem:
+
+grep "Teste de envio remoto" /var/log/syslog