« Rsyslog » : différence entre les versions
mAucun résumé des modifications |
Aucun résumé des modifications |
||
| Ligne 33 : | Ligne 33 : | ||
<h2>Configuration et traitement des logs entrants</h2> | <h2>Configuration et traitement des logs entrants</h2> | ||
<h3>Les templates</h3> | |||
Les [https://www.rsyslog.com/doc/v8-stable/configuration/templates.html templates] sont des points clefs de la configuration de rsyslog. La syntaxe générale est la suivante : | |||
<pre style="color: silver; background: black;"> | |||
template(parameters) | |||
</pre> | |||
<h3>Formatage du message</h3> | |||
On peut à l'aide d'un template formater les messages entrants voici un petit exemple : | |||
<pre style="color: silver; background: black;"> | <pre style="color: silver; background: black;"> | ||
template( | |||
name="format" | |||
type="string" | |||
string="%TIMESTAMP:::date-rfc3339% %hostname% %syslogtag% msg : %msg%\n" | |||
) | |||
</pre> | |||
La liste des différents paramètres tels que : %hostname%, %syslogtag% est consultable [https://www.rsyslog.com/doc/v8-stable/configuration/properties.html ici] | |||
<h3>Variables</h3> | |||
On peut également créer des [https://www.rsyslog.com/doc/v8-stable/rainerscript/variable_property_types.html variables] | |||
<pre style="color: silver; background: black;"> | |||
set $.test = replace($syslogtag, ":", ""); | |||
</pre> | </pre> | ||
Dans cet exemple on retire le caractère ':' dans la chaîne de caractère syslogtag | |||
<h3>Emplacement des logs</h3> | |||
Pour définir un emplacement spécifique pour les logs on peut créer un template du type : | |||
<pre style="color: silver; background: black;"> | |||
template ( | |||
name="RemoteLogs" | |||
type="string" | |||
string="/var/log/chemin/test.log" | |||
) | |||
</pre> | |||
</h3>Application</h3> | |||
Les templates étant définie il ne reste plus qu'a les appliquer. Pour cela il faut spécifier à quel [https://datatracker.ietf.org/doc/html/rfc5424#section-6.2.1 facility.severity] on souhaite les appliquer. | |||
<pre style="color: silver; background: black;"> | <pre style="color: silver; background: black;"> | ||
facility.severity_level | facility.severity_level nom_template | ||
</pre> | </pre> | ||
On peut également choisir d'appliquer des templates à tous les logs entrants | |||
< | <pre style="color: silver; background: black;">*.* ?RemoteLogs</pre> | ||
Ne pas oublier d'arrêter le traitement une fois que les informations ont été écrites dans un fichier et éviter ainsi qu'ils soit également écrit dans les fichiers locaux. | |||
<pre style="color: silver; background: black;">stop</pre> | |||
< | <h3>Récapitulatif</h3> | ||
<pre style="color: silver; background: black;"> | |||
template( | |||
name="format" | |||
type="string" | |||
string="%TIMESTAMP:::date-rfc3339% %hostname% %syslogtag% msg : %msg%\n" | |||
) | |||
template ( | |||
name="RemoteLogs" | |||
type="string" | |||
string="/var/log/chemin/test.log" | |||
) | |||
#pour appliquer les deux templates à tous les logs | |||
*.* -?RemoteLogs;format | |||
stop | |||
</pre> | |||
| Ligne 71 : | Ligne 112 : | ||
auth.* @@192.168.100.10:514 | auth.* @@192.168.100.10:514 | ||
</pre> | </pre> | ||
<h1>Utilisation avec Docker</h1> | |||
On peut voir sur la page [[Docker logs]] comment rediriger les logs des différents conteneurs vers un serveur rsyslog. On peut utiliser une astuce pour classer proprement les logs en utilisant le paramètre syslogtag. | |||
<h1>Source</h1> | <h1>Source</h1> | ||
*https://www.tecmint.com/install-rsyslog-centralized-logging-in-centos-ubuntu/ | *https://www.tecmint.com/install-rsyslog-centralized-logging-in-centos-ubuntu/ | ||
*https://adamtheautomator.com/rsyslog-configuration/ | *https://adamtheautomator.com/rsyslog-configuration/ | ||
Version du 5 août 2023 à 07:43
Rsyslog permet de gérer les journaux d’événements, capable d'agir comme un serveur afin de récupérer les journaux des machines sur le réseau.
Configuration du mode serveur
Configuration des protocoles et écoute des ports
Afin de pouvoir recevoir les messages provenant du réseau, il faut configurer le protocole utilisé ainsi que le port. Pour ce faire il faut éditer le fichier : /etc/rsyslog.conf et repérer ce passage :
# provides UDP syslog reception module(load="imudp") input(type="imudp" port="514") # provides TCP syslog reception module(load="imtcp") input(type="imtcp" port="514")
Assez explicite, mais je vais tout de même détailler
module(load="imudp")
Active le module permettant d'écouter avec le protocole UDP
input(type="imudp" port="514")
Configure l'entrée pour utiliser le protocole UDP sur le port 514. Les autres lignes font la même chose pour le protocole TCP. Une fois ces lignes décommentées/ajoutées et rsyslog rechargé/redémarré, il écoutera sur le port 514 en UDP et TCP.
Configuration et traitement des logs entrants
Les templates
Les templates sont des points clefs de la configuration de rsyslog. La syntaxe générale est la suivante :
template(parameters)
Formatage du message
On peut à l'aide d'un template formater les messages entrants voici un petit exemple :
template(
name="format"
type="string"
string="%TIMESTAMP:::date-rfc3339% %hostname% %syslogtag% msg : %msg%\n"
)
La liste des différents paramètres tels que : %hostname%, %syslogtag% est consultable ici
Variables
On peut également créer des variables
set $.test = replace($syslogtag, ":", "");
Dans cet exemple on retire le caractère ':' dans la chaîne de caractère syslogtag
Emplacement des logs
Pour définir un emplacement spécifique pour les logs on peut créer un template du type :
template (
name="RemoteLogs"
type="string"
string="/var/log/chemin/test.log"
)
Application
Les templates étant définie il ne reste plus qu'a les appliquer. Pour cela il faut spécifier à quel facility.severity on souhaite les appliquer.
facility.severity_level nom_template
On peut également choisir d'appliquer des templates à tous les logs entrants
*.* ?RemoteLogs
Ne pas oublier d'arrêter le traitement une fois que les informations ont été écrites dans un fichier et éviter ainsi qu'ils soit également écrit dans les fichiers locaux.
stop
Récapitulatif
template(
name="format"
type="string"
string="%TIMESTAMP:::date-rfc3339% %hostname% %syslogtag% msg : %msg%\n"
)
template (
name="RemoteLogs"
type="string"
string="/var/log/chemin/test.log"
)
#pour appliquer les deux templates à tous les logs
*.* -?RemoteLogs;format
stop
Configuration coté client
Ici ça va être facile et rapide, il suffira d'ajouter au fichier : /etc/rsyslog.conf
*.* @@192.168.100.10:514
Lui indiquant ainsi que tous ses logs doivent être envoyés vers l'adresse et le port indiqué. Il est cependant tout à fait possible de restreindre les logs envoyés en utilisant une syntaxe du type :
auth.* @@192.168.100.10:514
Utilisation avec Docker
On peut voir sur la page Docker logs comment rediriger les logs des différents conteneurs vers un serveur rsyslog. On peut utiliser une astuce pour classer proprement les logs en utilisant le paramètre syslogtag.