使用 syslog-ng 搭建安全的日志集中服务器

管理Linux系统以及应用程序的日志非常重要且具有趣味性。我们想要得到的是重要的、有用的信息，并不是大量的垃圾。你得有能力在日志中找到你需要的信息。古老的 syslogd 工具已经工作了许多个年头。但它现在已经不足以面对更加复杂的需要。为了代替它，我们有了新一代的 Linux 日志管理工具，syslog-ng(syslog-next-generation)。

比较 syslog ，syslog-ng 具有众多高级的功能：更好的网络支持，更加方便的配置，集中式的网络日志存储，并且更具有弹性。比如，使用syslogd时，所有的iptables日志与其他内核日志一起全部存储到了kern.log文件里。Syslog-ng则可以让你有选择性的将iptables部分分出到另外的日志文件中。Syslogd仅能使用UDP协议，Syslog-ng 可以使用UDP和TCP协议。所以你可以在加密的网络隧道中传输日志到集中日志服务器。

安装

所有的Linux发行版本已经默认提供了Syslog-ng包。目前的稳定版本为1.6。如果你使用yum或者apt-get等工具安装Syslog-ng，他们会自动卸载sysklogd包。如果sysklogd没有被自动卸载，亲你手动删除它并且确保syslogd服务已经停止。（sysklogd 是软件包名，syslogd 是服务名）

配置文件结构

由于功能具有弹性，所以配置文件的学习可能稍微曲折。Syslog-ng 的配置文件在 /etc/syslog-ng/syslog-ng.conf ，或者是 /etc/syslog-ng.conf 。你可以通过 man 5 syslog-ng 来学习所有的选项以及字段的含义。一般 syslog-ng 可能含有以下5个章段：

options{}
全局设置。 These can be overridden in any of the next four sections

source{}
信息来源, 来源可以是文件, 本地 sockets, 或者远程主机。

destination{}
信息目标, 可以是文件, 本地 sockets, 或者远程主机。

filter{}
过滤选项非常强大且复杂；你可以过滤日志中的任何方面，比如基础的 syslogd 快捷字段（facility names–man 5 syslog.conf 获取更多信息），log 等级，主机名，以及任何log中出现的字段或者是数字。

log{}
此段将来源 目的 过滤 都给连接起来并且告诉syslog-ng如何处理日志。

一些典型的全局选项：

options {

sync (0);
log_fifo_size (2048);
create_dirs (yes);
group (logs);
dir_group (logs);
perm (0640);
dir_perm (0750);
};

在 /etc/syslog-ng.conf 中使用的全局选项字段必须是被定义过的。 上面例子的具体含义是：

sync
在写入磁盘之前保留多少行的消息输出队列。（这里将日志输出称为“消息”。）0 是首选的数值，这可以让你确保捕获了所有信息，且磁盘也不会在系统以外掉电时丢失信息。

log_fifo_size
输出队列中消息的最大行数。默认为100行。你可以通过计算得出一个合适的数值，以下是引用一份邮件列表，里面提到了相关的内容：

每个消息来源最大接收数据的1024字节。单条日志信息为20至30字节。所以程序的一次执行可以送出1024/20=50条消息。对每个日志发送方，你的 log 接受能力必须满足这个数值。若你有两个日志源，则你必须能一次接受100条信息。
Each message source receives maximum 1024 bytes of data. A single log message is about 20 to 30 bytes. So on a single run each log source may emit 1024/20 = 50 messages. Your log fifo must be able to hold this number of messages for each source. So for two sources, you’ll need at least 100 slots in your fifo.

那两个选项非常容易混淆。 来自远程主机的消息会突然到达，所以你要保证你的 log_fifo_size 参数足以接纳那些突然增加的消息。 不然你就会丢失日志了， 当然这还受限于你的网络速度以及I/O速率。

create_dirs
启用或禁用自动为目标文件创建目录的功能。 在上文中值为“yes”, 所以远程主机会更具需要自动创建目录。

group
dir_group
设定日志文件以及目录的所有人（owner），所以你不必以超级用户（root）的身份去浏览那些日志。

perm
dir_perm
默认新日志文件的权限设置。

Source, Destination, 和 Filter 描述
Source, destination, 和 filter 的名字可以是任意的，看看下面的例子：

source s_local { internal(); unix-stream(”/dev/log”); file(”/proc/kmsg” log_prefix(”kernel: “)); };
destination d_auth { file(”/var/log/auth.log”); };
filter f_auth { facility(auth, authpriv); };

如果你喜欢你可以将 “source s_local” 改为 “source frederick_remington_depew”，当然 “destination d_auth” 也可以为 “destination moon.” 通常我们将 source 的名字中含有 “s” 字段，destination 的名字中含有 “d” 字段， filter 的名字中含有 “f” 字段，但这并不是必须的。source, destination, 和 filter 中其他的选项必须使用已经定义的字段，你可以通过 man 5 syslog-ng.conf 查看这些参数。

上面的例子 “source s_local” 将所有本地生成的日志信息作为一个信息源。而 “destination d_auth” 选项又将这些日志输入了 /var/log/auth.log 文件，当然这是通过 “filter f_auth” 将它们连接起来的。 auth 和 authpriv 是 syslog 标准的设备名称。

最后的日志申明（Log statements）将他们链接到了一起：

log {source(s_local); filter(f_auth); destination(d_auth); };

那么这四行就将本地所有的 auth 和 authpriv 日志筛出并写入了 /var/log/auth.log。

启用远程日志记录

当然，使用老的 syslogd 也可以很好的完成远程日志记录的工作，但那真的不太好，因为他只使用UDP协议传送数据包。首先你需要将所有的客户端上都装好 syslog-ng。并且在日志服务器的 syslog-ng.conf 文件中加入以下配置文件，这样才可以接受远程客户端日志，并将每台机器的日志写入单独的文件。

source s_remote { tcp(); };
destination d_clients { file(”/var/log/HOSTS/$HOST/”); };
log { source(s_remote); destination(d_clients); };

这是一个非常简单但十分有用的例子，他收集所有客户端本地的日志并将日志发送至远程日志服务器：

#sample syslog-ng.conf for a remote client
source s_local { internal(); unix-stream(”/dev/log”); file(”/proc/kmsg” log_prefix(”kernel: “)); };
destination d_loghost {tcp(”192.168.1.10″ port(514));};
log { source(s_local); destination(loghost); };

syslog-ng.conf 配置参考

一份完整的样板配置文件会显得比较长，你可以查看 syslog-ng 安装时附带的配置文件。Debian 用户得到的是一份通过 syslogd 配置而定制的配置文件。我们将给出一份日志服务器的配置文件，以及一个远程日志客户端的配置文件，来看看他们是怎么工作起来的吧：

#sample syslog-ng.conf for a central logging server
options {

sync (0);
log_fifo_size (2048);
create_dirs (yes);
group (logs);
dir_group (logs);
perm (0640);
dir_perm (0750);
};

source s_local { internal(); unix-stream(”/dev/log”); file(”/proc/kmsg” log_prefix(”kernel: “)); };
destination d_auth { file(”/var/log/auth.log”); };
filter f_auth { facility(auth, authpriv); };

source s_remote { tcp(); };
destination d_clients { file(”/var/log/HOSTS/$HOST”); };

log { source(s_remote); destination(d_clients); };
log { source(s_local); filter(f_auth); destination(d_auth); };

修改完 syslog-ng 之后要重启服务：

# /etc/init.d/syslog-ng restart

测试
现在你可以在日志服务器以及客户端上进行一些测试了。由于在本地服务器中最先出现的日志一般是认证日志，所以你可以先尝试着打开一个新的登录窗口，使用su 或者是 sudo 都可以。接着检查 /var/log/auth.log 文件。在客户端上做一些操作，接着检查 /var/log/HOSTS 是否已经为远程客户端创建了新的目录。

另外一个方法是使用更加高级的 logger 命令：

# logger “this is a test”
# logger -p auth.debug “this is a test”

这将在你的日志文件中创建如下内容：

Apr 1 16:08:42 localhost.localdomain logger: this is a test

现在我们已经掌握了 syslog-ng 基本的功能，下周我们讲学习如何将 syslog-ng 客户端以及服务器按照你的意愿配置的更加有规则、易于管理，并且讨论如何建立一个安全的、加密的 syslog-ng 传输。