View system messages via web

Syslog messages
Windows Events
Status Reports
Statistics
Web based

http://loganalyzer-demo.adiscon.com/

实验室设置：

使用 Centos 7 和 Ubuntu 21.04 LTS，Centos 7 充当带有 LogAnalyzer 的 rsyslog 服务器，Ubuntu 充当 rsyslog 客户端。

Rsyslog服务器：
操作系统：CentOS 7
IP地址：192.168.108.128

Rsyslog 客户端服务器：
操作系统：centOS7
IP地址：192.168.108.148

Rsyslog 客户端服务器：
操作系统：ubuntu 22.04 LTS
IP地址：192.168.108.153

1./安装先决条件

– 为了使 LogAnalyzer 正常运行，我们的系统上需要安装许多必备软件包。
– 安装 Httpd 和 php 软件包：
– 以 root 用户身份登录

- 防火墙中的开放访问
[root@localhost ~]# iptables -A INPUT -m state --state NEW -m udp -p udp --dport 514 -j ACCEPT
– 安装 Httpd 和 php 软件包：以 root 用户身份登录
[root@localhost ~]# hostname LogAnalyzer
[root@localhost ~]# sudo -i
[root@LogAnalyzer ~]# yum install httpd php php-mysql wget

– 启动时启用并启动 Httpd
[root@LogAnalyzer ~]# systemctl enable httpd && systemctl start httpd

– 查看 rsyslogd 版本
[root@LogAnalyzer ~]# rsyslogd -v  
– 安装 mariadb 服务器和 rsyslog-mysql 软件包：
[root@LogAnalyzer ~]# yum install mariadb-server -y rsyslog-mysql rsyslog

– 查看 rsyslog 服务状态
[root@LogAnalyzer ~]# service rsyslog start
[root@LogAnalyzer ~]# service rsyslog on
[root@LogAnalyzer ~]# systemctl status rsyslog.service

- 在启动时启用并启动 mariadb 服务器：
[root@LogAnalyzer ~]# systemctl enable mariadb && systemctl start mariadb
- 查看 mariadb 状态
[root@LogAnalyzer ~]# systemctl status mariadb.service

2./配置RSYSLOG数据库

– 使用以下命令导入 RSYSLOG 提供的默认数据库方案：

[root@LogAnalyzer ~]# mysql -u root -p < /usr/share/doc/ 不要回车 按tab 键不全后面的参数rsyslog-8.24.0/mysql-createDB.sql 
Display all 311 possibilities? (y or n) 选择 n
[root@LogAnalyzer ~]# mysql -u root -p < /usr/share/doc/rsyslog-8.24.0/mysql-createDB.sql
- 创建一个用户来访问Syslog数据库：
[root@LogAnalyzer ~]# mysql -uroot -p
MariaDB [(none)]> GRANT ALL ON Syslog.* TO 'rsyslog'@'localhost' IDENTIFIED BY 'Password';
Query OK, 0 rows affected (0.00 sec)

MariaDB [(none)]> FLUSH PRIVILEGES;
Query OK, 0 rows affected (0.00 sec)

MariaDB [(none)]> show databases;    //Syslog databases 能够看到说明创建ok

MariaDB [(none)]> exit

[root@LogAnalyzer ~]# cp /etc/rsyslog.conf /etc/rsyslog.conf.org
[root@LogAnalyzer ~]# vi /etc/rsyslog.conf
- 找到并取消注释以下行，以使您的服务器侦听 udp 和 tcp 端口。

$ModLoad imudp

$UDPServerRun 514

$ModLoad imtcp

$InputTCPServerRun 514

- 添加以下行以创建新的转发规则并加载 mysql 模块：

# Load the MySQL Module
$ModLoad ommysql

*.* :ommysql:127.0.0.1,Syslog,rsyslog,Password

- 保存并重启 rsyslog 服务
[root@LogAnalyzer ~]# systemctl restart rsyslog
- 查看 rsyslog   服务状态
[root@LogAnalyzer ~]# systemctl status rsyslog

3./安装日志分析器 LogAnalyzer

[root@LogAnalyzer ~]#  cd /tmp/
[root@LogAnalyzer tmp]# wget http://download.adiscon.com/loganalyzer/loganalyzer-4.1.10.tar.gz 
---如果出现错误: 无法验证 download.adiscon.com 的由 “/C=US/O=Let's Encrypt/CN=R3” 颁发的证书:
  颁发的证书已经过期。那么可以  使用 --no-check-certificate 参数下载
[root@LogAnalyzer tmp]# wget --no-check-certificate http://download.adiscon.com/loganalyzer/loganalyzer-4.1.10.tar.gz
- 解压 loganalyzer-4.1.10.tar.gz
[root@LogAnalyzer tmp]# tar -xzvf /tmp/loganalyzer-4.1.10.tar.gz

- 在apache web目录下创建LogAnalyzer目录：
[root@LogAnalyzer tmp]# mkdir /var/www/html/loganalyzer

- 使用以下命令将安装文件复制到 loganalyzer 目录中：
[root@LogAnalyzer tmp]# cp -r /tmp/loganalyzer-4.1.10/src/* /var/www/html/loganalyzer
[root@LogAnalyzer tmp]# cp /tmp/loganalyzer-4.1.10/contrib/configure.sh /var/www/html/loganalyzer

- 在 loganalyzer 目录中创建一个名为 config.php 的空白配置文件，并使用以下命令为 apache 用户设置写入权限：

[root@LogAnalyzer tmp]# cd /var/www/html/loganalyzer
[root@LogAnalyzer loganalyzer]# bash configure.sh
[root@LogAnalyzer loganalyzer]# chcon -h -t httpd_sys_script_rw_t config.php
[root@LogAnalyzer loganalyzer]# touch config.php
[root@LogAnalyzer loganalyzer]# chmod 777 config.php

- 如果安装了firewalld，请通过执行以下命令允许流量到达您的服务器：
[root@LogAnalyzer loganalyzer]# firewall-cmd --add-port=514/{tcp,udp} --permanent
[root@LogAnalyzer loganalyzer]# firewall-cmd --add-service=http --permanent
[root@LogAnalyzer loganalyzer]# firewall-cmd --reload

4./启动LogAnalyzer Web安装程序

完成上述步骤后，在 Web 浏览器中打开以下 URL 以启动 LogAnalyzer Web 安装程序。

http://192.168.108.128/loganalyzer/

- 修改网页配置---这里保持默认不修改
[root@LogAnalyzer ~]# vi /etc/httpd/conf/httpd.conf

*.* :ommysql:127.0.0.1,Syslog,rsyslog,Password

GRANT ALL ON Syslog.* TO 'rsyslog'@'localhost' IDENTIFIED BY 'Password';

5./LogAnalyzer日志分析系统中文语言包:

LogAnalyzer默认为英文官方推荐使用英文不懂英文的就安装中文语言包。无法上传网上自行找
解压后将zh目录方至/var/www/html/loganalyzer/lang目录下再次访问页面在右上角选择中文即可。

6./L问题处理：Problem :
“Could not find the configured table, maybe misspelled or the table names are case sensitive”
“找不到配置的表，可能拼写错误或表名称区分大小写”

[root@localhost loganalyzer]# cp config.php config..dist.php
[root@localhost loganalyzer]# cd /var/www/html/loganalyzer/
[root@localhost loganalyzer]# vi config.php 
$CFG['Sources']['Source1']['DBTableName'] = ‘systemevents’; 默认是小写
$CFG['Sources']['Source1']['DBTableName'] = ‘Systemevents’; 修改为大写的 Systemevents

更新 database :
[root@localhost loganalyzer]# mysql -uroot -p
MariaDB [(none)]> use Syslog
MariaDB [Syslog]> update logcon_sources set DBTableName = 'SystemEvents'where ID=1;
Query OK, 1 row affected (0.00 sec)
Rows matched: 1  Changed: 1  Warnings: 0

问题处理：JpGraph Error: 25001This PHP installation is not configured with the GD library. Please recompile PHP with GD support to run JpGraph. (Neither function imagetypes() nor imagecreatefromstring() does exist)

- 安装php-gd
[root@localhost ~]# service httpd restart
- 重启 httpd
[root@localhost ~]# yum -y install php-gd

5./ 在客户端节点上配置 Rsyslog

配置 Rsyslog 中央服务器后，让我们配置客户端系统以将日志发送到中央 Rsyslog 服务器。登录到每个客户端节点并在文件末尾添加以下行,

[root@Centostest01 ~]# vim /etc/rsyslog.conf

添加以下行，使用中央 Rsyslog 系统 ip/主机名更改主机名或 ip。

*.* @192.168.108.128:514
或者
*.* @LogAnalyzer.com:514  
     LogAnalyzer.com:  // DNS 域名

并使用以下命令重新启动 rsyslog 服务。
您的集中式日志服务器设置已成功完成
如果新端口已在 /etc/rsyslog.conf 中配置，请立即重新启动 rsyslog 以使更改生效：

[root@Centostest01 ~]# service rsyslog restart

------------------------------------------------------------------------------这里就收集到了 Centostest01 的 log

Ubuntu 22.04.2 LTS Rsyslog 客户端收集-----------------------------------------------------------------------

------------------------------------------------------------------------------这里就收集到了 ubuntu-server 的 log

RSyslog Windows Agent 客户端收集

Rsyslog Windows Agent - rsyslog 下载连接，需要收费，不建议使用；

1. 打开RSyslog Windows Agent Configuration，在Tools---> Stslog Test Message，配置Syslog Server服务器地址，点击Send，进行测试。

2、依次展示RuleSets，进行Rsyslog转发配置，并启用服务。

防火墙及交换机log收集

交换机配置:
info-center loghost 192.168.108.128  //日志服务器地址
 info-center enable //启动
info-center loghost source Vlanifxx //指定日志发送源接口为逻辑口
info-center source default channel 2 log level debugging//发送所有级别的日志

路由器配置
收集路由器日志以Cisco 2691为例；
此处引用他人测试结果  https://blog.51cto.com/jackyan/1284826

Router>en

Router#configterminal

Enter configurationcommands, one per line.  End with CNTL/Z.

Router(config)#int f0/0

Router(config-if)#ipadd 172.16.1.20 255.255.0.0

Router(config-if)#no shutdown

Router(config-if)#end

Router#ping 172.16.1.2

Type escape sequence toabort.

Sending 5, 100-byteICMP Echos to 172.16.1.2, timeout is 2 seconds:

.!!!!

Router#conf t

Router(config)#logginghost 172.16.1.2

Router(config)#loggingon

Router(config)#loggingtrap notifications

Router(config)#loggingfacility local1

Router(config)#loggingsource-interface FastEthernet0/0


添加设备的主机名和IP的对应，方便显示主机名；

vi/etc/hosts

172.16.0.1  server.magelinux.com server

172.16.1.2      sta2.magedu.com www

172.16.1.20  Cisco2691
-----------------------------------

------------------------------------------------------------------------------这里就收集到了 huawei 交换机的 log

Install Configure LogAnalyzer with Rsyslog On CentOS 7

View system messages via web

猜你喜欢