การคอนฟิก rsyslog server and rsyslog client

การคอนฟิก rsyslog server

การทำ rsyslog server จะต้องคอนฟิกให้ rsyslog รอรับข้อมูลจาก log ที่จะส่งมาจากเครื่องบริการต่างๆ โดยกำหนดที่ /etc/sysconfig/rsyslog

;กำหนด – r เพื่อรอรับ logging จากเครื่องอื่น

;กำหนด – t เพื่อระบุเป็น TCP และพอร์ท 514

SYSLOGD_OPTIONS="-r -m 0 -t 514"

จากนั้นใช้คำสั่ง service rsyslog restart เพื่อเริ่มการทำงานของโปรแกรมใหม่

เมื่อมีการส่งข้อมูล log เข้ามายัง log server แล้วต้องำกหนดพาทที่จะจัดเก็บโดยกำหนดที่ไฟล์ /etc/rsyslog.conf ดังตัวอย่างต่อไปนี้

#web log ;กำหนดให้เมื่อมีการส่ง log ของเว็บมาให้เก็บที่ /log/web/access.log

local6.info /log/web/access.log

#squid ;กำหนดให้เมื่อมีการส่ง log ของ squid มาให้เก็บที่ /log/squid/access.log

local5.* /log/squid/access.log

ทดสอบการทำงานโดยใช้คำสั่ง logger -p local6.info "Your data logger"

ถ้ามีบริการอื่นก็สามารถกำหนดสถานที่จัดเก็บโดยการแก้ไขไฟล์ rsyslog.conf เพิ่มเติมได้แต่ต้องสร้างพาทให้กับที่จัดเก็บไฟล์ให้ตรงกันด้วย การส่ง logging เข้ามายัง log server นั้นต้องกำหนดพอร์ตด้วยดังตัวอย่างด้านบนกำหนดไว้ที่พอร์ต 514 การส่งก็ต้องกำหนดค่าให้ถูกต้องด้วยเช่น สมมุติว่าต้องการส่งให้ log server ไอพี 192.168.1.10 ต้องกำหนดให้ action เป็น @192.168.1.10:514 เป็นต้น

การคอนฟิก rsyslog client

ในส่วนของ rsyslog client นั้นสามารถกำหนดไฟล์ได้ที่ /etc/rsyslog.conf ซึ่งในส่วนนี้เราสามารถที่จะจัดเก็บ log ไว้ที่เครื่องหรือส่งไปยัง log server ตัวอย่างการกำหนดการจัดเก็บ log และการกำหนดการส่ง log ไปยัง log server ดังนี้

;กำหนดให้มีการส่ง log ของ local6.info ไปที่เครื่อง 192.168.1.10 ด้วยโปรโตคอล TCP และพอร์ต 514

local6.info @@192.168.1.10:514

;กำหนดให้มีการส่ง log ของ local6.info ไปที่เครื่อง 192.168.1.10 ด้วยโปรโตคอล UDP และพอร์ต 514

local6.info @192.168.1.10:514

;ส่งข้อมูลล็อกของ local2.info,local0 และ local7.debug ไปยังเครื่องเก็บล็อก logsrv

local2.info;local0,local7.debug @logsrv

ทดสอบการทำงานโดยใช้คำสั่ง logger -p local6.info "Your data logger"

นอกจากนี้ rsyslog ยังมีรูปแบบการใช้งานอีกมากมายสามารถดูรายละเอียดเพิ่มเติมได้ที่ http://www.rsyslog.com