128 lines
2.6 KiB
Plaintext
128 lines
2.6 KiB
Plaintext
# Configuração do servidor rsyslog para receber logs remotos
|
|
|
|
Este tutorial mostra como configurar um servidor Linux com `rsyslog` para receber logs enviados por outros hosts da rede.
|
|
|
|
Neste exemplo, o servidor ficará escutando conexões UDP na porta:
|
|
|
|
514
|
|
|
|
1. Atualizar os repositórios
|
|
|
|
Atualize a lista de pacotes:
|
|
|
|
apt update
|
|
|
|
2. Instalar o rsyslog
|
|
|
|
Instale o serviço:
|
|
|
|
apt install rsyslog
|
|
|
|
Confira se o serviço foi instalado:
|
|
|
|
systemctl status rsyslog
|
|
|
|
3. Habilitar leitura dos logs do journald
|
|
|
|
Crie o arquivo:
|
|
|
|
/etc/rsyslog.d/journald.conf
|
|
|
|
Utilizando:
|
|
|
|
cat <<'EOF' > /etc/rsyslog.d/journald.conf
|
|
module(load="imjournal" StateFile="imjournal.state")
|
|
EOF
|
|
|
|
Essa configuração permite que o rsyslog também leia as mensagens armazenadas pelo systemd-journald.
|
|
|
|
4. Desabilitar o módulo imuxsock
|
|
|
|
Comente a linha:
|
|
|
|
module(load="imuxsock") # provides support for local system logging
|
|
|
|
Execute:
|
|
|
|
sed -i 's|^module(load="imuxsock")|#module(load="imuxsock")|' /etc/rsyslog.conf
|
|
|
|
Depois confira:
|
|
|
|
grep -n 'imuxsock' /etc/rsyslog.conf
|
|
|
|
O resultado deve ficar semelhante a:
|
|
|
|
#module(load="imuxsock") # provides support for local system logging
|
|
|
|
5. Habilitar recebimento de logs via UDP
|
|
|
|
No arquivo:
|
|
|
|
/etc/rsyslog.conf
|
|
|
|
localize as linhas:
|
|
|
|
#module(load="imudp")
|
|
#input(type="imudp" port="514")
|
|
|
|
Descomente utilizando:
|
|
|
|
sed -i 's|^#module(load="imudp")|module(load="imudp")|' /etc/rsyslog.conf
|
|
sed -i 's|^#input(type="imudp" port="514")|input(type="imudp" port="514")|' /etc/rsyslog.conf
|
|
|
|
Depois confira:
|
|
|
|
grep -nE 'imudp|port="514"' /etc/rsyslog.conf
|
|
|
|
O resultado esperado é:
|
|
|
|
module(load="imudp")
|
|
input(type="imudp" port="514")
|
|
|
|
Essas duas diretivas fazem com que o rsyslog escute mensagens syslog recebidas via UDP na porta 514.
|
|
|
|
6. Validar a configuração
|
|
|
|
Antes de reiniciar o serviço, valide a sintaxe:
|
|
|
|
rsyslogd -N1
|
|
|
|
Se não houver erros, a configuração pode ser aplicada.
|
|
|
|
7. Reiniciar o rsyslog
|
|
|
|
Reinicie o serviço:
|
|
|
|
systemctl restart rsyslog
|
|
|
|
Confira o estado:
|
|
|
|
systemctl status rsyslog --no-pager
|
|
|
|
8. Confirmar que a porta UDP 514 está aberta
|
|
|
|
Utilize:
|
|
|
|
ss -lunp | grep ':514'
|
|
|
|
O servidor deverá apresentar o rsyslogd escutando na porta UDP 514.
|
|
|
|
Exemplo:
|
|
|
|
UNCONN 0 0 0.0.0.0:514 0.0.0.0:* users:(("rsyslogd",pid=...,fd=...))
|
|
|
|
Dependendo da configuração, também poderá aparecer uma entrada IPv6.
|
|
|
|
9. Testar o recebimento de logs
|
|
|
|
Em um cliente já configurado para encaminhar logs para este servidor, gere uma mensagem:
|
|
|
|
logger "Teste de envio remoto para servidor rsyslog"
|
|
|
|
No servidor, acompanhe os logs:
|
|
|
|
tail -f /var/log/syslog
|
|
|
|
Ou pesquise pela mensagem:
|
|
|
|
grep "Teste de envio remoto" /var/log/syslog |