nxlog管理配置linux,IIS服务器配置NXLog进行syslog转发(并解决GMT+8小时时差问题)...
NXLog是个跨平台日志传输插件,支持linux、windows平台的大部分系统日志及常见的web日志,支持tcp、udp、http(s)等协议传输。
本文通过NXLog将IIS的日志以syslog的形式转发至日志审计服务器。
一、系统环境
操作系统:Window Server2012 R2 DataCenter
IIS:8.5
NXLog:nxlog-ce-2.10.2150
二、NXLog的整体实现原理
NXLog整体采用插件架构模式,通过加载可调用的模块, 实现从各种不同的日志来源读取日志数据(Input),对日志数据进行解析和转换(Prosessor),最后进行输出(Output)。
IIS的日志为文本类型的逐行文件,各字段使用“空格符”进行分割,而其中的日期和时间分属于两个不同的字段。因此IIS的日志可以通过Input的im_file模块进行读取,并经过一定的处理后输出(转发)。
在NXLog的安装路径C:\Program Files\nxlog(或C:\Program Files (x86)\nxlog)下找到conf\nxlog.conf,用文本编辑器进行编辑。
三、具体配置方法
1. 查看本地IIS日志格式(在IIS管理器中可以对W3C日志记录字段进行更改。)
1
2
3
4
#Software: Microsoft Internet Information Services 8.5
#Version: 1.0
#Date: 2020-04-26 06:14:01
#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) cs-host sc-status sc-substatus sc-win32-status time-taken
2. 设置W3C扩展日志格式(这里的第一个$datetime是将$date和$time进行了合并,具体见下面input中的操作。)
1
2
3
4
5
6
7
8
9
Module xm_csv
Fields $datetime, $s-ip, $cs-method, $cs-uri-stem, $cs-uri-query, $s-port, $cs-username, $c-ip, $csUser-Agent, $cs-Referer, $cs-host, $sc-status, $sc-substatus, $sc-win32-status, $time-taken
FieldTypesstring,string,string,string,string,string,string,string,string,string,string,string,string,string,string
Delimiter' '
QuoteChar'"'
EscapeControl TRUE
UndefValue -
3. 增加Input日志来源
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
Module im_file
# IIS日志目录,文件名支持通配符,文件夹不支持
File"C:\inetpub\logs\LogFiles\W3SVC1\u_ex*.log"
SavePos TRUE
# 忽略以#开头的日志行
# 编码转换为GBK(我的日志审计服务器默认为GBK编码,而IIS日志的编码为UTF-8,请按实际情况设置)
# 利用替换法将日期与时间合并为一个字段
# 解析为CSV格式
# 通过xm_csv模块对W3C扩展日志进行解析
# 将合并后的日期与时间作为EventTime(发生时间),并增加GMT标志(+00:00)解决IIS8小时时差问题
Execif $raw_event =~ /^#/ drop(); \
else \
{ \
convert_fields("AUTO","GBK"); \
$raw_event = replace($raw_event,' ','@', 1); \
w3c->parse_csv(); \
$raw_event = replace($raw_event,' ',"\t"); \
$raw_event = replace($raw_event,'@',' ', 1); \
$EventTime = parsedate(replace($datetime,'@',' ', 1) +'+00:00'); \
}
4. 增加Output日志输出(内网通过UDP方式输出可以提高运行效率;如果需要高可靠性可采用TCP,但容易造成工作负载过大。使用to_syslog_bsd后,在input段设置的$EventTime才能有效。)
1
2
3
4
5
6
Module om_udp
Host 10.168.100.1
Port 514
Exec to_syslog_bsd();
5. 增加转发规则
1
2
3
Path IISin => IISout
四、启动NXLog
可以通过服务管理器services.msc中启动nxlog服务,或者在安装路径中双击nxlog.exe运行。
五、排错
检查安装路径\data\nxlog.log日志文件,并进行排错。如果提示如下内容(ERROR if-else failed),大多数是因为段中配置的字段和日志中的字段不匹配。
1
2020-04-26 14:04:24 ERRORif-else failed at line 43, character 315in C:\Program Files (x86)\nxlog\conf\nxlog.conf. statement execution has been aborted; procedure'parse_csv' failed at line 43, character 181in C:\Program Files (x86)\nxlog\conf\nxlog.conf. statement execution has been aborted; Too many fieldsin CSV input, expected 15, got 16in input'...此处略去具体日志内容...'
六、实际效果
七、完整配置文件:conf\nxlog.conf
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
Panic Soft
#NoFreeOnExit TRUE
define ROOT C:\Program Files (x86)\nxlog
define CERTDIR %ROOT%\cert
define CONFDIR %ROOT%\conf
define LOGDIR %ROOT%\data
define LOGFILE %LOGDIR%\nxlog.log
LogFile %LOGFILE%
Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
Module xm_csv
Fields $datetime, $s-ip, $cs-method, $cs-uri-stem, $cs-uri-query, $s-port, $cs-username, $c-ip, $csUser-Agent, $cs-Referer, $cs-host, $sc-status, $sc-substatus, $sc-win32-status, $time-taken
FieldTypesstring,string,string,string,string,string,string,string,string,string,string,string,string,string,string
Delimiter' '
QuoteChar'"'
EscapeControl TRUE
UndefValue -
Module xm_syslog
Module xm_charconv
AutodetectCharsets iso8859-2, utf-8, utf-16, utf-32
Module xm_exec
Module xm_fileop
# Check the size of our log file hourly, rotate if larger than 5MB
Every 1 hour
Execif (file_exists('%LOGFILE%') and \
(file_size('%LOGFILE%') >= 5M)) \
file_cycle('%LOGFILE%', 8);
# Rotate our log file every week on Sunday at midnight
When @weekly
Execif file_exists('%LOGFILE%') file_cycle('%LOGFILE%', 8);
Module im_file
# IIS日志目录,文件名支持通配符,文件夹不支持
File"C:\inetpub\logs\LogFiles\W3SVC1\u_ex*.log"
SavePos TRUE
# 忽略以#开头的日志行
# 编码转换为GBK(我的日志审计服务器默认为GBK编码,而IIS日志的编码为UTF-8,请按实际情况设置)
# 合并日期与时间为一个字段
# 解析为CSV格式
# 通过xm_csv模块对W3C扩展日志进行解析
# 将合并后的日期与时间作为EventTime(发生时间),并增加GMT标志(+00:00)解决IIS8小时时差问题
Execif $raw_event =~ /^#/ drop(); \
else \
{ \
convert_fields("AUTO","GBK"); \
$raw_event = replace($raw_event,' ','@', 1); \
w3c->parse_csv(); \
$raw_event = replace($raw_event,' ',"\t"); \
$raw_event = replace($raw_event,'@',' ', 1); \
$EventTime = parsedate(replace($datetime,'@',' ', 1) +'+00:00'); \
}
Module om_udp
Host 10.168.100.1
Port 514
Exec to_syslog_bsd();
Path IISin => IISout
参考资料:
nxlog管理配置linux,IIS服务器配置NXLog进行syslog转发(并解决GMT+8小时时差问题)...相关推荐
- iis服务器各种文件配置,图解IIS服务器配置教程
作者:中国路由网 IIS服务器完全配置 现在我们要使IIS实现ASP,CGI,PERL和PHP+MYSQL 所需软件(都要是For Windows的): ActivePerl.PHP.MYSQL Ac ...
- linux下添加mq队列管理配置,linux下 MQ第二弹:队列管理器的配置,实现双机MQI通道异步双向通信,亲测!!...
本人前面文章一提到MQ 在linux下的安装,在此只描述队列管理器的配置,实现MQI通道的双向通讯. 一下方法我已亲测!! 贴出A,B两机的MQ配置记录: A机: #**--------------- ...
- 服务器显示配置命令,linux查看服务器配置命令
linux查看服务器配置命令 内容精选 换一换 Linux查看操作系统发行版本cat/etc/redhat-releaseCentOSLinuxrelease7.4.1708(Core)查看操作系统信 ...
- 服务器iis配置 所需文件,iis服务器配置手册.pdf
iis服务器配置手册 IIS 服务器配置手册 一. 概述 本手册在Windows 2000 Advanced Server 环境下完成,讲述了IIS 的各常用服务的安装. 设置和使用过程,同时包括服务 ...
- linux 软件 web管理系统,如何快速安装Webmin(linux系统web管理配置工具)
如何快速安装Webmin(linux系统web管理配置工具) 简介: Webmin是目前功能最强大的基于Web的Unix系统管理工具.管理员通过浏览器访问Webmin的各种管理功能并完成相应的管理动作 ...
- linux基于文本的配置工具,Linux基本配置和管理 3 ---- Linux命令行文本处理工具
1 文件浏览(简单回顾) 1 cat 查看文件的内容 2 more 以翻页的形式查看,但是只能向下翻页 3 less 以翻页的形式查看,但是能够支持向上和向下翻页 4 head 默认是查看前10行,但 ...
- Redhat(Linux)上的JBoss管理配置
Redhat(Linux)上的JBoss管理配置 1 JBoss设置 使用的省略词含义 命令 操作的含义 JBOSS_HOME JBos ...
- LINUX从零开始——ENGINEER(云计算应用管理)——Day4-1 [配置Linux网络 、源码编译安装、自定义Yum仓库、日志管理]
一.环境准备 1.建议还原快照,开启CentOS7虚拟机,以root用户登录 课前回顾: 1.交换空间的作用? 缓解内存的压力 2.格式化交换文件系统的命令? mkswap 3.查看内存空间以及交换空 ...
- 网卡或网络配置文件(Linux网络操作系统与管理配置)小红帽
网卡或网络配置文件(Linux网络操作系统与管理配置)小红帽 1.ifconfig是一个用来查看启用禁用的网络接口工具 /etc/sysconfig/network-scripts/ifcfg-eth ...
- IIS服务器配置,添加网站的配置
配置好IIS后,可以添加网站 1.右键 网站---添加网站 2.右键 新建的网站-添加应用程序 3.右键 新建的网站---添加虚拟目录 4.右键 新建的网站-编辑绑定 5. 右键 新建的网站-管理网站 ...
最新文章
- mybaits if判断进入不了
- python设计自定义函数_python
- python输入三个整数、输出最大的数_题目:使用Python编程,输入三个整数x,y,z,请把这三个数由小到大输出...
- python是面向对象还是面向过程的语言_关于python是面向对象还是面向过程的分析...
- 音乐计算机官方.,Boom音乐电脑版
- 服务器不能安装exe文件,云服务器安装exe文件
- 学习 Qt 编程的好书推荐
- python人名抽签_办公人员的 python 妙用——抽签结果提取
- 职称计算机考试题库破解版2017,2017职称计算机考试题库及答案
- 最全的测试计划模板参考
- Android Binder学习(四)之addService流程分析
- PhpSpreadsheet读写Excel文件
- ipv4和计算机地址是什么意思,ipv6是什么意思?我们怎么查看电脑iPv6地址
- rc3ctf 逆向logmein writeup
- Go手动安装pkg包初体验
- 微信小程序 - 实现手机号登录--授权并获取手机号保存至本地
- 【Mac 教程系列第 14 篇】如何设置 Mac 允许从任意来源下载 App
- dede判断字段是否为空
- JAVA基础知识——方法的参数,特殊数据类型,装箱和拆箱...
- 什么是深度学习?我们为何需要深度学习?
热门文章
- php 到处excel 乱码,php 导出excel 乱码怎么办
- 公司数字化建设规划方案
- 草图大师 2019 破解版|草图大师Sketchup pro 2019中文破解版64位下载 v19.0(附Sketchup 2019破解补丁)
- windows 删除网络驱动器
- 【人脸姿态】2D人脸姿态估计的两种方式:solvePnP与3DMM参数
- win7局域网共享设置_局域网硬盘一键共享软件下载-一键共享局域网修复查看设置工具包免费版...
- 鸟哥的Linux私房菜-合集
- 高等数学同济第七版课后答案上册
- 海康ehome协议及应用
- js实现敏感词过滤算法