Prezentacja dotyczy centralnego zarządzania logami w sieci komputerowej z wykorzystaniem rsyslog i systemd-journald. Omówiono protokół syslog, strukturę wiadomości, etykiety Facility i Severity oraz narzędzia do rotacji i analizy logów. Przedstawiono architekturę klient-serwer, stos ELK oraz laboratorium transmisji logów.
# Przekaz na serwer centralny (TCP) authpriv.* @@192.168.1.100:514 # Sprawdzenie czy port nasłuchuje ss -tlnp | grep 514
# Podstawowe użycie logger "Test komunikatu" # Z priorytetem logger -p user.err "Błąd aplikacji" # Z tagiem logger -t myapp -p local0.info "Serwis wystartował" # Bezpośrednio przez sieć logger -n 192.168.1.100 -P 514 "Test"
<PRI>TIMESTAMP HOSTNAME MSG
# Przykład:
<34>Oct 11 22:14:15 myhost sshd[1234]:
Failed password for root from 10.0.0.5
| Kod | Facility | Opis |
|---|---|---|
| 0 | kern | Komunikaty jądra |
| 1 | user | Komunikaty użytkownika |
| 2 | System pocztowy | |
| 3 | daemon | Usługi systemowe |
| 4 | auth | Logowanie i autoryzacja |
| 5 | syslog | Wewnętrzny syslog |
| 9 | cron | Zadania cron |
| 16-23 | local0-7 | Do definiowania przez aplikacje |
| Kod | Severity | Opis |
|---|---|---|
| 0 | emergency | System nie działa |
| 1 | alert | Natychmiastowa interwencja |
| 2 | critical | Stan krytyczny |
| 3 | error | Błąd |
| 4 | warning | Ostrzeżenie |
| 5 | notice | Ważne zdarzenie |
| 6 | info | Informacja |
| 7 | debug | Dane diagnostyczne |
# Wzór: Priority = Facility * 8 + Severity # auth (4) + crit (2) = 34 -> <34> # kern (0) + emerg (0) = 0 -> <0> # W konfiguracji rsyslog: authpriv.* # wszystkie authpriv *.err # err i wyższe kern.=crit # tylko crit z kern
# Kern (jądro) <0>May 10 08:15:30 srv1 kernel: Kernel panic # Auth (logowanie SSH) <38>May 10 08:20:00 srv1 sshd[2345]: Accepted publickey # Mail (poczta) <22>May 10 08:25:00 srv1 postfix/smtpd[3456]: connect from unknown # Cron <78>May 10 08:30:00 srv1 CRON[4567]: CMD run-parts # User (błąd aplikacji) <11>May 10 08:35:00 srv1 myapp[5678]: Connection refused
# Typowa zawartość /var/log (Debian/Ubuntu) /var/log/ syslog # Główny plik logów auth.log # Uwierzytelnianie kern.log # Komunikaty jądra mail.log # Poczta cron.log # Cron mysql/ # Logi MySQL nginx/ # Logi Nginx
# /etc/logrotate.conf - konfiguracja globalna daily rotate 7 compress delaycompress missingok notifempty # /etc/logrotate.d/rsyslog /var/log/syslog { weekly rotate 4 compress postrotate /usr/lib/rsyslog/rsyslog-rotate endscript }
# /etc/rsyslog.conf module(load="imuxsock") module(load="imklog") module(load="imudp") module(load="imtcp") $WorkDirectory /var/spool/rsyslog $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat $IncludeConfig /etc/rsyslog.d/*.conf
# Zapis do pliku authpriv.* /var/log/auth.log # Przekaz na serwer (UDP @, TCP @@) user.* @@logserver:514 # Z szablonem dynamicznym $template D,"/var/log/%HOSTNAME%/%PROGRAMNAME%.log" *.* ?D # Warunek if/then if $msg contains "ERROR" then /var/log/errors.log # Dyskontynuacja (stop) local0.* ~
| Cecha | journald | rsyslog |
|---|---|---|
| Format | Binarny (indeksowany) | Tekstowy (ASCII) |
| Wydajność zapisu | Bardzo wysoka | Wysoka |
| Filtrowanie | Indeksowane pola | grep/awk przez plik |
| Przechowywanie | Ulotne (/run) | Trwałe (pliki) |
| Przechwytywanie stdout | Automatyczne | Wymaga konfiguracji |
| Rotacja | Automatyczna | logrotate |
| Dostęp zdalny | Wymaga forward | Natywny |
# Wyświetlenie wszystkich logów journalctl # Logi z bieżącego boota journalctl -b # Lista bootów journalctl --list-boots # Ostatnie 10 minut journalctl --since "10 min ago" # Podgląd na żywo journalctl -f
# Po usłudze journalctl -u ssh.service # Po priorytecie journalctl -p err # Po polach journalctl PRIORITY=3 _PID=1234 # Kombinacja journalctl -u nginx.service -p err --since today # Format JSON journalctl -u nginx.service -o json-pretty
# Podgląd na żywo journalctl -f # Podgląd usługi journalctl -u nginx.service -f # Tylko błędy na żywo journalctl -p err -f # Ostatnie 50 linii, potem follow journalctl -u apache2.service -n 50 -f # JSON do pliku journalctl -u myapp.service -o json -f > /tmp/logs.json
| Kryterium | rsyslog | systemd-journald |
|---|---|---|
| Centralizacja sieciowa | +++ (natywna) | -- (wymaga forward) |
| Szybkość odpytywania | + (grep) | +++ (indeksy) |
| Trwałość danych | +++ (zawsze dysk) | +/- (ulotne) |
| Czytelność | +++ (tekst) | + (wymaga journalctl) |
| Rotacja | logrotate | Wbudowana |
| Bezpieczeństwo transmisji | +++ (TLS) | + (przez rsyslog) |
# Opcja 1: rsyslog czyta z journald przez imjournal module(load="imjournal" StateFile="imjournal.state") # Opcja 2: journald przekazuje do rsyslog # /etc/systemd/journald.conf: ForwardToSyslog=yes # Rsyslog zapisuje do plików authpriv.* /var/log/auth.log # Przekaz na centralny serwer *.* @@logserver:514
# KLIENT - wysyła logi # /etc/rsyslog.d/60-central.conf *.* @@192.168.1.100:514 # SERWER - odbiera logi # /etc/rsyslog.conf module(load="imudp") input(type="imudp" port="514") module(load="imtcp") input(type="imtcp" port="514")
| Cecha | UDP (514) | TCP (514) |
|---|---|---|
| Niezawodność | Brak | Gwarancja |
| Szybkość | Bardzo wysoka | Wysoka (ACK) |
| Kolejkowanie | Brak | Wbudowane |
| Bezpieczeństwo | Spoofing | Trudniejszy spoofing |
| Fragmentacja | MTU ~1500B | Automatyczna |
| Zastosowanie | LAN, mało krytyczne | WAN, produkcja |
Rekomendacja: używaj TCP (@@) w środowisku produkcyjnym
# Moduł UDP module(load="imudp") input(type="imudp" port="514") # Moduł TCP module(load="imtcp") input(type="imtcp" port="514") # TCP z ograniczeniem do interfejsu input(type="imtcp" port="514" address="192.168.1.100") # Restart systemctl restart rsyslog
# Przykład konfiguracji Logstash
input {
beats { port => 5044 }
syslog { port => 514 }
}
filter {
grok {
match => { "message" => "%{SYSLOGBASE}" }
}
date {
match => [ "timestamp", "MMM d HH:mm:ss" ]
}
}
output {
elasticsearch {
hosts => ["localhost:9200"]
index => "syslog-%{+YYYY.MM.dd}"
}
}
# Wymagania laboratoryjne # 2 maszyny Linux (np. Ubuntu 22.04) # Klient: 192.168.1.10/24 # Serwer: 192.168.1.100/24 # rsyslog zainstalowany domyślnie # Port 514 odblokowany w firewallu systemctl status rsyslog systemctl is-enabled rsyslog
# Krok 1: Utwórz plik reguły na kliencie cat > /etc/rsyslog.d/60-central.conf << EOF # Wszystkie logi przez TCP na serwer *.* @@192.168.1.100:514 EOF # Krok 2: Restart rsyslog systemctl restart rsyslog # Krok 3: Sprawdzenie systemctl status rsyslog
# Krok 1: Konfiguracja serwera /etc/rsyslog.conf module(load="imudp") input(type="imudp" port="514") module(load="imtcp") input(type="imtcp" port="514") # Krok 2: Reguła z szablonem $template RemoteLogs,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log" *.* ?RemoteLogs # Krok 3: Restart systemctl restart rsyslog
# Na kliencie: wyślij testowy komunikat logger -p user.err "TEST: błąd aplikacji - sprawdź log centralny" # Sprawdź lokalnie tail -f /var/log/syslog | grep TEST # Sprawdź czy port jest otwarty ss -tlnp | grep 514 ss -ulnp | grep 514
# Na serwerze: sprawdź czy log dotarł tail -f /var/log/remote/KLIENT/user.log | grep TEST # Alternatywnie: przeszukaj wszystkie logi zdalne grep -r "TEST" /var/log/remote/ # Lub: journalctl na serwerze journalctl | grep "TEST"
# Diagnostyka grep "TEST" /var/log/remote/*/*.log # tcpdump do debugowania tcpdump -i eth0 port 514 -nn # Sprawdzenie firewalla iptables -L -n | grep 514 ufw status # Test konfiguracji rsyslog rsyslogd -N1
# Sprawdzenie praw dostępu ls -la /var/log/ ls -la /var/log/remote/ # Naprawa praw chown syslog:adm /var/log/remote/ -R chmod 755 /var/log/remote/ # Test konfiguracji rsyslog rsyslogd -N1 # Podgląd logów rsyslog journalctl -u rsyslog -p err
# Sprawdzenie nasłuchu TCP ss -tlnp | grep 514 # Sprawdzenie nasłuchu UDP ss -ulnp | grep 514 # Alternatywnie netstat netstat -tulnp | grep 514 # lsof lsof -i :514
# Sprawdzenie reguł iptables iptables -L INPUT -n -v | grep 514 # Dodanie reguły ACCEPT dla rsyslog iptables -A INPUT -p tcp --dport 514 -j ACCEPT iptables -A INPUT -p udp --dport 514 -j ACCEPT # Dla ufw ufw allow 514/tcp ufw allow 514/udp # Dla firewalld firewall-cmd --add-port=514/tcp --permanent firewall-cmd --reload
# Najważniejsze flagi journalctl journalctl -b # Bieżący boot journalctl -b -1 # Poprzedni boot journalctl -u ssh.service # Konkretna usługa journalctl -p err # Błędy i wyższe journalctl -f # Podgląd na żywo journalctl -n 50 # Ostatnie 50 linii journalctl --since "1 hour ago" # Zakres czasu journalctl -o json # Format JSON journalctl --list-boots # Lista bootów journalctl --disk-usage # Użycie dysku
# Opcje logrotate daily | weekly | monthly # Częstotliwość rotate 7 # Liczba archiwów compress # Kompresja gzip delaycompress # Opóźniona kompresja dateext # Data w nazwie pliku missingok # Nie błąd gdy brak pliku notifempty # Nie rotuj pustego pliku maxsize 100M # Maksymalny rozmiar postrotate / endscript # Skrypt po rotacji # Test konfiguracji logrotate -d /etc/logrotate.conf
# Podgląd na żywo tail -f /var/log/syslog tail -f /var/log/auth.log | grep "Failed" # Filtrowanie grep "ERROR" /var/log/*.log grep -r "192.168.1." /var/log/ # Analiza kolumn awk '{print $1, $5}' /var/log/auth.log cut -d' ' -f1-3 /var/log/syslog # Cykliczne odświeżanie watch -n 5 'tail -n 50 /var/log/syslog | grep ERROR' # Statystyki awk '{print $5}' /var/log/apache2/access.log | sort | uniq -c | sort -nr
