Servidor de logs em Debian Linux

Esse artigo tem como objetivo demonstrar a configuração de um servidor de logs em Debian Linux e seus clientes, que podem ser máquinas Linux, Windows, roteadores, dentre outros dispositivos de rede.

[ Hits: 71.574 ]

Por: Mauricio Vieira Gomes da Silva em 09/10/2008


Introdução



Quando dispositivos de rede tem problemas eles geram mensagens de erro. Em vários casos, essas mensagens te ajudarão a solucionar o problema. Dispositivos como servidores, roteadores, switches e alguns modelos de servidores de impressão HP JetDirect suportam o uso de um servidor syslog.

Um servidor syslog é um tipo de repositório central para mensagens de log, como forma de centralizar o monitoramento dos sistemas e dispositivos em rede. É uma espécie de arquitetura cliente/servidor onde os dispositivos são os clientes. Quando configurado para usar um servidor syslog, os dispositivos enviarão suas mensagens de log pela rede para o servidor de syslog, que então irá armazená-las em um arquivo local.

É possível definir onde as mensagens serão armazenadas e quais mensagens dos clientes serão enviadas, baseadas no nível de criticidade. Estes níveis de criticidade são padronizados e identificados por um número e/ou uma abreviação padrão (mostrada entre parêntesis no quadro abaixo).
  1. Emergência (emerg)
  2. Alerta (alert)
  3. Critico (crit)
  4. Erro (err)
  5. Aviso (warn)
  6. Notificação (notice)
  7. Informação (info)
  8. Debug (debug)

O nível 7 diz basicamente para enviar todos os eventos para o servidor syslog. É recomendável utilizá-lo quando for testar o servidor syslog, para se certificar que ele está funcionando.

Há também siglas chamadas de "eventos", que dão uma idéia a respeito dos processos do sistema, como um sistema de categorização de mensagens. Quando um dispositivo remoto envia uma mensagem para o servidor syslog, ele inclui um dos atributos de evento (junto com o nível de criticidade). Alguns dos eventos mais comuns são:
  • auth - Mensagens de autenticação (login)
  • cron - Mensagens do agendador da memória residente
  • daemon - Mensagens dos processos residentes
  • kern - Mensagens do kernel
  • lpr - Mensagens de impressão (usada pelas placas JetDirect)
  • mail - Mensagens do Sendmail
  • user - Mensagens dos aplicativos e processos dos usuários
  • local0 ... local7 - Definido pelo usuário (veja abaixo)
  • syslog - Mensagens do próprio syslog

local0...7 são usados pelos equipamentos Cisco e servidores Windows. Você pode especificar diferentes níveis de criticidade para diferentes eventos caso deseje, por exemplo, registrando todas as mensagens de kernel, mas somente as mensagens de emergência de impressão. Isto é feito editando-se o arquivo /etc/syslog.conf usando o seguinte formato:

evento.criticidade nomedoarquivodelog

Usando o exemplo abaixo teríamos registradas apenas as mensagens do kernel e de emergência de impressão. As entradas do /etc/syslog.conf seriam essas:

kern.* /var/log/example.log
lpr.emerg /var/log/example.log

Note que o arquivo usa as abreviações padrão para o nível de criticidade e não o número. Note também que você pode especificar qualquer caminho e nome de arquivo para o arquivo de log alvo. Você também pode especificar diferentes arquivos de log para diferentes criticidades e diferentes eventos ou qualquer combinação dessas.

Normalmente usamos uma partição grande para ser montada como "log", apenas para os arquivos de log. As entradas abaixo do arquivo /etc/syslog.conf devem ser algo como isso:

kern.* /logs/enterprise.log
lpr.emerg /logs/enterprise.log

Se desejar que qualquer mensagem, de qualquer dispositivo, seja registrada (por exemplo, para testes), você só precisaria de uma entrada:

*.* /logs/enterprise.log

    Próxima página

Páginas do artigo
   1. Introdução
   2. O servidor Syslog
   3. Clientes do servidor "syslog"
   4. Visualizando os arquivos de log
   5. Conclusão
Outros artigos deste autor

iTALC 2.0 - Instalação e Configuração no Ubuntu

Vodafone Mobile Connect Card driver - Um excelente software para modems 3G

Leitura recomendada

Usando HTTP autenticado no Apache

Capturando e-mails da rede com Mailsnarf

Rootkit: Uma nova ameaça?

Como assinar digitalmente um documento criado no Br/OpenOffice

Entendendo o que é Engenharia Social

  
Comentários
[1] Comentário enviado por renato.leite em 09/10/2008 - 15:09h

muito bom o artigo, tá de parabéns....

[2] Comentário enviado por reng.unip em 09/10/2008 - 15:27h

Dandelion parabéns, ótimo artigo, vou implementá-lo. Até mais.

[3] Comentário enviado por assuero em 09/10/2008 - 16:37h

Ótimo artigo, um servidor Linux de logs em um ambiente de rede é uma mão na roda para o administrador.
Esse será um dos artigos que terei na mão quando começar a fazer meus testes de rede com linux, em casa.
Obrigado por mais este conhecimento.

[4] Comentário enviado por comfaa em 10/10/2008 - 07:42h

ótimo artigo !!!
parabés

[5] Comentário enviado por removido em 12/10/2008 - 10:35h

dandelion

Muito Bom mesmo !!!

[6] Comentário enviado por removido em 13/10/2008 - 18:22h

Maurício,
ótimo artigo. parabéns.
foi o melhor q já li sobre syslog.

só ficou faltando uma informação. como faz para mudar a porta na qual o syslog vai receber as mensagens?

[7] Comentário enviado por comfaa em 14/10/2008 - 09:01h

Muito Bom Artigo !!!

Abraços

[8] Comentário enviado por jucaetico em 14/10/2008 - 10:49h

Cara, era tudo que eu precisava. Valeu mesmo!

Abraços

[9] Comentário enviado por crildo em 14/10/2008 - 14:20h

Muito Bom! Parabéns!

[10] Comentário enviado por jucaetico em 22/10/2008 - 09:51h

Amigo, testei e não funcionou na primeira vez, depois que vi o artigo em inglês. Notei a seguinte diferença:

Seu artigo:
SYSLOGD="r m0"

Artigo original:
SYSLOGD="-r -m0"


Pelo menos no meu caso essa alteração fiz no seguinte arquivo: /etc/default/syslogd

Agora funcionou blz.

ps. utilizei o Debian 4.0 etch

abraços

[11] Comentário enviado por smkbarbosa em 12/03/2009 - 09:27h

Muito bom, ajudou bastante.....


[12] Comentário enviado por jcbarrios em 18/03/2009 - 00:05h

Olá Parabéns pelo artigo!

Apenas uma dúvida, por exemplo é possível implementar essa técnica de enviar os logs para o servidor de log das estações de trabalho dos colaboradores com SO em windows (XP) por exemplo. Caso sim, como seria o procedimento.

Abs,

Obrigado.
Jcbarrios

[13] Comentário enviado por dandelion em 18/03/2009 - 10:11h

Olá jcbarrios!!!

Não fiz o teste com estações Windows XP, mas penso que o procedimento adotado pra Windows 2003 funcione também no XP.

Abraços!

[14] Comentário enviado por julioagostini em 26/06/2009 - 16:58h

Muito bom o artigo!

[15] Comentário enviado por magnolinux em 13/10/2009 - 10:46h

otimo artigo parabens..

[16] Comentário enviado por kurtz01 em 22/12/2011 - 02:38h

Muito bom vou testar em casa.

[17] Comentário enviado por MarceloHudson em 12/04/2012 - 10:52h

Estava à procura de um servidor SYSLOG,seu artigo vai me ser muito útil.Obrigado .

[18] Comentário enviado por augustodmdries em 09/08/2016 - 18:19h


[6] Comentário enviado por removido em 13/10/2008 - 18:22h

Maurício,
ótimo artigo. parabéns.
foi o melhor q já li sobre syslog.

só ficou faltando uma informação. como faz para mudar a porta na qual o syslog vai receber as mensagens?


Amigo fiz da seguinte forma

source "nome da sua source" {
network (port (514) transport("udp"));
};
coloque o nome que sua preferencia em sua source ex, "s_mikrotik"
e no lugar de 514 o numero da porta que deseja
e não se esqueça de informar nos dispositivos a porta


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner
Linux banner
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts