linux發(fā)送日志到日志審計配置案例

1.需求分析因業(yè)務(wù)需求，需要將Linux服務(wù)器日志以syslog形式發(fā)送至HSA日志服務(wù)器設(shè)備上，本案例詳細介紹Linux服務(wù)器配置及日志發(fā)送至HSA步驟。2.解決方案2.1軟硬件信息硬件平臺軟件版本HSAHSApro-2.17.0Linux主機centos72.2組網(wǎng)拓撲2.3環(huán)境說明HSA日志服務(wù)器：10.86.229.88；FW出口：10.88.16.236；Linux主機：192.168.30.10。2.4配置步驟2.4.1安裝Rsyslog守護進程收集Linux日志需利用開源工具rsyslog，rsyslog可以配置為客戶端，用來過濾和發(fā)送內(nèi)部日志消息到本地文件夾（如/var/log）或一臺可以路由到的遠程日志服務(wù)器上（如山石HSA日志審計平臺）。以下均以CentOS7為例，Linux服務(wù)器到HSA網(wǎng)絡(luò)可達。（1）在CentOS6和7上，rsyslog守護進程已經(jīng)預(yù)先安裝了。要驗證rsyslog是否已經(jīng)安裝到CentOS系統(tǒng)上，請執(zhí)行如下命令：#rpm-qa|greprsyslog#rsyslogd-v（2）如果處于某種原因，rsyslog守護進程沒有安裝在CentOS系統(tǒng)中，請使用以下命令來安裝：#yuminstallrsyslog2.4.2配置Rsyslog守護進程為客戶端接下來的步驟，需要將CentOS主機轉(zhuǎn)變成rsyslog客戶端，將其所有內(nèi)部日志消息發(fā)送到遠程日志服務(wù)器上。要實現(xiàn)該功能，請打開位于/etc路徑下的rsyslog.conf或者syslog.conf配置文件，使用命令：#vim/etc/rsyslog.conf或者#nano/etc/rsyslog.conf輸入i進行編輯文件，將最末行語句替換為*.*

@日志服務(wù)器地址:514（前面的“#”需要刪除，中間的空格是TAB鍵）同時把syslog.conf里的udpsyslog有關(guān)兩個注釋符號“#”去掉，達到讓Linux服務(wù)器發(fā)送日志時使用udp協(xié)議發(fā)送。操作完成后，Esc退出，輸入:wq到末行保存配置。2.4.3重啟Rsyslog進程修改配置文件后，需要重啟進程以激活修改：CentOS7：#systemctlrestartrsyslog.serviceCentOS6：#servicersyslogrestart若需要讓rsyslog客戶端在每次系統(tǒng)重啟后自動啟動，請運行以下命令：CentOS7：#systemctlenablersyslog.serviceCentOS6：#chkconfigrsyslogon配置完成就可以打開