Abilitare il logging di un sistema Linux (syslog)¶
Un server Linux può inviare i propri log a un'appliance Log Manager in due modi: con l'agente dedicato, oppure inoltrando il syslog verso l'appliance.
Opzione consigliata: l'agente Linux¶
Sulla pagina Downloads → Software Clients dell'interfaccia del Log Manager, se è presente la voce Linux Endpoint Client, conviene installare quell'agente sul server. Rispetto al syslog puro l'agente aggiunge un trasporto cifrato e la persistenza (i log accumulati durante un'interruzione vengono inviati al ripristino) e, dove supportato, l'inventario. Vedi Endpoint Client.
In alternativa: inoltro syslog verso l'appliance¶
Quando non è possibile installare l'agente, si configura il demone syslog del
server perché inoltri i log all'indirizzo IP dell'appliance sulla porta
514/UDP. A seconda del demone in uso — rsyslog sulle distribuzioni recenti,
syslog-ng, o il vecchio syslogd — la configurazione cambia. Negli esempi
sostituisci IP_LOGMANAGER con l'indirizzo dell'appliance.
rsyslog¶
È il demone predefinito sulla maggior parte delle distribuzioni attuali. Crea un
file dedicato in /etc/rsyslog.d/ (per esempio 90-loghost.conf) — oppure
aggiungi la riga in fondo a /etc/rsyslog.conf:
*.* @IP_LOGMANAGER:514
In rsyslog una @ singola indica UDP; una doppia @@ indica TCP
(*.* @@IP_LOGMANAGER:514), da usare se preferisci un trasporto affidabile e
l'appliance è in ascolto in TCP. Applica con:
systemctl restart rsyslog
syslog-ng¶
Modifica /etc/syslog-ng/syslog-ng.conf (o un file incluso in
/etc/syslog-ng/conf.d/) aggiungendo una destinazione e collegandola alla
sorgente locale (di solito chiamata s_src o s_system):
destination d_logmanager { udp("IP_LOGMANAGER" port(514)); };
log { source(s_src); destination(d_logmanager); };
Per il trasporto TCP usa tcp("IP_LOGMANAGER" port(514)). Applica con:
systemctl restart syslog-ng
syslogd (sistemi datati)¶
Sui sistemi che usano ancora il syslog classico, aggiungi in fondo a
/etc/syslog.conf la riga:
*.* @IP_LOGMANAGER
La riga copia tutte le facility, per tutti i livelli, verso l'appliance.
Ricarica poi il servizio, per esempio con kill -HUP $(pidof syslogd) o
service syslog restart.
Il carattere di tabulazione nel syslog classico
In /etc/syslog.conf il selettore (*.*) e la destinazione (@IP…) vanno
separati da una tabulazione, non da spazi: è un requisito del vecchio
formato che, se disatteso, fa ignorare la riga.
Verificare l'arrivo dei log¶
Dopo il riavvio del demone, controlla che i log del server compaiano nel Log Manager in Query → Ricerca Log, filtrando sull'host appena configurato. Se non arriva nulla, verifica che la porta 514 sia raggiungibile lungo il percorso di rete (firewall compresi) e che l'IP indicato sia quello dell'appliance.