用freebsd搭建日志服务器

在比较大规模的网络应用或者对安全有一定要求的应用中，通常需要对系统的日志进行记录分类并审核，默认情况下，每个系统会在本地硬盘上记录自己的日志，这样虽然也能有日志记录，但是有很多缺点：首先是管理不便，当服务器数量比较多的时候，登陆每台服务器去管理分析日志会十分不便，其次是安全问题，一旦有***者登陆系统，他可以轻松的删除所有日志，系统安全分析人员不能得到任何***信息。因此，在网络中安排一台专用的日志服务器来记录系统日志是一个比较理想的方案。本文以FreeBSD下的syslog为例，介绍如何利用freebsd的syslogd来记录来自UNIX和windows的log信息。

<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

一，记录UNIX类主机的log信息：

首先需要对Freebsd的syslog进行配置，使它允许接收来自其他服务器的log信息。

在/etc/rc.conf中加入：

syslogd_flags="-4 -a 0/0:*"

说明：freebsd的syslogd参数设置放在/etc/rc.conf文件的syslogd_flags变量中

Freebsd对syslogd的默认设置参数是syslogd_flags="-s"，（可以在/etc/defaults/rc.conf中看到）

默认的参数-s表示打开UDP端口监听，但是只监听本机的UDP端口，拒绝接收来自其他主机的log信息。如果是两个ss,即-ss，表示不打开任何UDP端口，只在本机用/dev/log设备来记录log.

修改后的参数说明：

-4 只监听IPv4端口，如果你的网络是IPv6协议，可以换成-6

-a 0/0:* 接受来自所有网段所有端口发送过来的log信息。

如果只希望syslogd接收来自某特定网段的log信息可以这样写：-a 192.168.1.0/24:*

-a 192.168.1.0/24:514或者-a 192.168.1.0/24表示仅接收来自该网段514端口的log信息，这也是freebsd的syslogd进程默认设置，也就是说freebsd 在接收来自其他主机的log信息的时候会判断对方发送信息的端口，如果对方不是用514端口发送的信息，那么freebsd的syslogd会拒绝接收信息。即，在默认情况下必须：远程IP的514端口发送到本地IP的514，

在参数中加入*,表示允许接收来自任何端口的log信息。这点，在记录 UNIX类主机信息的时候感觉不到加不加有什么区别，因为UNIX类主机都是用 514端口发送和接收syslog信息的。但是在接收windows信息的时候就非常重要了。因为windows的syslog软件不用514端口发送信息，这会让默认配置的syslogd拒绝接收信息。笔者同样在linux系统下用linux的syslogd来配置log服务器，发现linux下的 syslogd就没有那么多限制，只要给syslogd加上-r参数，就可以接收来自任何主机任何端口的syslog信息，在这方面来说freebsd的默认配置安全性要比linux稍微高一点。

修改好syslogd参数后，我们需要修改一下/etc/syslog.conf文件，指定log信息的存放路径，

比如你要记录其他系统的远程登陆登出信息并指定日志存放路径，则需要修改以下行：

authpriv.* /var/log/testlog

这表示把系统的登入登出日志（包括本机系统登陆登出日志）存放到/var/log/testlog文件中。

当然，这是最简陋的做法，因为这样会把所有服务器的登陆登出信息存放在一个文件中，察看的时候很不方便，通常的做法是用一个脚本，对接收到的信息进行简单的分拣，然后插入到mysql数据库中

如下设置：

authpriv.* |/var/log/filter_log.sh

先创建一个数据库：

CREATE database log

Use log

CREATE TABLE `logs` (

`ip` varchar(15) CHARACTER SET utf8 COLLATE utf8_unicode_ci DEFAULT NULL,

`log` varchar(255) CHARACTER SET utf8 COLLATE utf8_unicode_ci DEFAULT NULL,

`time` datetime DEFAULT NULL

) ENGINE=MyISAM DEFAULT CHARSET=latin1;

在记录目标前面加上“|”表示把接收到的信息交给后面的程序处理，这个程序可以是一个专门的日志处理软件，也可以是一个自己编写的小的脚本,举例：

Vi /var/log/filter_log.sh

#!/bin/sh

read stuff

SIP=`echo $stuff |awk '{print $4}'`

mysql -u root –p123456 <<QUERY_SQL

use log

insert into logs(ip,log,time) values ('$SIP','$stuff',now());

QUIT

QUERY_SQL

最后重启一下syslogd服务，让配置生效:

/etc/rc.d/syslogd restart

OK,服务端的配置完成。现在配置一下客户端：

这里所说的客户端，就是发送自己的日志到远程日志服务器上的主机。

修改/etc/syslog.conf文件：

我们举例你只要记录系统登入登出日志到远程日志服务器上，那么只需要修改以下一行:

authpriv.* @192.168.10.100

这里的192.168.10.100就是log服务器的IP，“@”符号表示发送到远程主机。

OK，重启一下syslog服务:

Linux: /etc/init.d/syslogd restart

BSD: /etc/rc.d/syslogd restart

用logger测试一下是否配置成功：

logger –p authpriv.notice “Hello,this is a test”

到log服务器上去看看，“Hello,this is a test”应该已经被记录下了。最后在客户机上登陆登出几次，看看真实的authpriv信息是否也被成功的记录下。

二， Windows日志的记录

对于UNIX类主机之间记录日志，由于协议、软件和日志信息格式等都大同小异，因此实现起来比较简单，但是windows的系统日志格式不同，日志记录软件，方式等都不同。因此，我们需要第三方的软件来将windows的日志转换成syslog类型的日志后，转发给syslog服务器。

介绍第三方软件evtsys (全称是evntlog to syslog)

这是一个非常小巧而且免费的第三方日志记录软件，下载地址如下：

https://engineering.purdue.edu/E ... cuments/UNIX/evtsys

文件才几十K大小，非常小巧，解压后是两个文件evtsys.dll和evtsys.exe

把这两个文件拷贝到 c:\windows\system32目录下。

打开Windows命令提示符（开始－>运行输入CMD）

C:\>evtsys –i –h 192.168.2.103

-i 表示安装成系统服务

-h 指定log服务器的IP地址

如果要卸载evtsys,则：

net stop evtsys

evtsys -u

启动该服务:

C:\>net start evtsys

打开windows组策略编辑器 (开始->运行输入 gpedit.msc)

在windows 设置－> 安全设置－> 本地策略－>审核策略中，打开你需要记录的windows日志。evtsys会实时的判断是否有新的windows日志产生，然后把新产生的日志转换成syslogd可识别的格式,通过UDP 3072端口发送给syslogd服务器。

OK,所有的配置windows端配置完成，现在配置一下syslogd的配置文件.

参数的配置和上面相同，

所不同的是evtsys是以daemon设备的方式发送给 syslogd log信息的。

因此，需要在/etc/syslog.conf中加入：

daemon.notice |/var/log/filter_log.sh

转载于:https://blog.51cto.com/kerry/202808

用freebsd搭建日志服务器相关推荐

[LINUX] 搭建日志服务器
在Linux上搭建日志服务器过程 http://www.linuxidc.com/Linux/2008-01/10420p2.htm 1 创建日志服务器,用来接收客户端发送来的日志,采用Linux系统 ...
Centos下用lamp搭建日志服务器
用lamp搭建日志服务器第一部分:简要介绍 1.作为网络的维护者,日志是我们工作中必不可少的一部分,他可以帮助我们分析设备是否正常,网络是否健康,所以任何设备或系统都应该建立完整的日志系统,这样我们 ...
rsyslog+mysql+loganalyzer 环境搭建日志服务器
环境:CentOS6.6 rsyslog+mysql+loganalyzer 环境搭建日志服务器 Client端: 192.168.2.10 MySQL服务器: 192.168.2.11 # ...
mysql 搭建日志服务器_一、架构01-搭建日志服务器Rsyslog
搭建日志服务器 1.环境配置环境: node01 192.168.32.132 rsyslog服务器 node02 192.168.32.128 rsyslog客户端 2.node01.no ...
mysql 搭建日志服务器_rsyslog+mysql+loganalyzer 环境搭建日志服务器
环境:CentOS6.6 rsyslog+mysql+loganalyzer 环境搭建日志服务器 Client端:192.168.2.10 MySQL服务器:192.168.2.11 # Client ...
Linux日志管理之搭建日志服务器
前期准备两台CentOS虚拟机网络正常两台机器可以ping通最后还缺一个屏幕前的你(搭建日志服务器) 需求进行日志服务器的配置,使客户端把任意类型的高于和等于info级别的日志通过TCP的 ...
【syslog】搭建日志服务器
搭建日志服务器 1.安装rsyslog yum install -y rsyslog 2.修改rsyslog.conf配置文件 /etc/rsyslog.conf: # rsyslog configu ...
搭建日志服务器 rsyslog
搭建日志服务器 rsyslog 文章目录搭建日志服务器 rsyslog @[TOC](文章目录) 前言一.ryslog是什么? 二.部署步骤 1.安装rsyslog服务 2.修改/etc/rsys ...
linux 搭建日志服务器
日志记录了服务器接收处理请求以及运行时错误等各种原始信息.通过对日志进行统计.分析.综合,就能有效的掌握服务器的运行状况,发现和排除错误原因,更好的加强系统的维护和管理. 本实验简单的模拟日志服务器的 ...

用freebsd搭建日志服务器

用freebsd搭建日志服务器相关推荐

最新文章

热门文章