☰

Rsyslog 无法从远程服务器记录日志

tag-icon • tag-icon logging tcp tcpdump rsyslog
Rsyslog 无法从远程服务器记录日志

我正在尝试设置一个集中式日志服务器。我有中央服务器 (A) 通过端口 514 上的远程服务器 (B) 接收日志。我知道它正在接收这些日志。以下是tcpdump端口 514 上的一些条目

# tcpdump port 514
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
10:49:52.136520 IP IP_FROM_SERVER_B.55558 > IP_FROM_SERVER_A.syslog: SYSLOG local0.notice, length: 474
10:49:52.136792 IP IP_FROM_SERVER_B.55558 > IP_FROM_SERVER_A.syslog: SYSLOG user.notice, length: 671
10:49:52.136838 IP IP_FROM_SERVER_B.55558 > IP_FROM_SERVER_A.syslog: SYSLOG user.info, length: 79

这就是应该记录的文件的样子（我称之为/var/log/test.log）。

May 16 10:43:19 SERVER_A kernel: imklog 3.22.1, log source = /proc/kmsg started.
May 16 10:43:19 SERVER_A rsyslogd: [origin software="rsyslogd" swVersion="3.22.1" x-pid="12974" x-info="http://www.rsyslog.com"] (re)start
May 16 10:49:08 SERVER_A kernel: device eth0 entered promiscuous mode
May 16 10:49:53 SERVER_A kernel: device eth0 left promiscuous mode

这是我的rsyslog.conf

# Use traditional timestamp format
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# Provides kernel logging support (previously done by rklogd)
$ModLoad imklog
# Provides support for local system logging (e.g. via logger command)
$ModLoad imuxsock

$ModLoad imtcp
$ModLoad imudp

$InputTCPServerRun 514
$UDPServerRun 514

# Write everything to test.log
*.*                                                     /var/log/test.log

*.info;mail;.none;authpriv.none;cron.none               /var/log/messages

#----------DEFAULT-SETTINGS-----------#
#----------HAVE-NOT-CHANGED------------#

# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.*                         /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog


# Log cron stuff
cron.*                                                  /var/log/cron

# Everybody gets emergency messages
*.emerg                                                 *

# Save news errors of level crit and higher in a special file.
uucp,news.crit                                          /var/log/spooler

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log

我确保每次编辑时都重新启动 rsyslog ，并且使用和标志rsyslog.conf运行启动守护程序，即使它们在我当前的版本中已被弃用。-r-t

那么为什么端口 514 上没有任何内容被写入呢test.log？

编辑：MadHatter 请求查看我的iptables输出：

# iptables -L -n -v
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   33  2988            udp  --  eth0   *       IP_ADDRESS_A          0.0.0.0/0           
 725K  420M RH-Firewall-1-INPUT  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RH-Firewall-1-INPUT  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT 231K packets, 189M bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain RH-Firewall-1-INPUT (2 references)
 pkts bytes target     prot opt in     out     source               destination         
 135K   92M ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
   17  1808 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 255 
    0     0 ACCEPT     esp  --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     ah   --  *      *       0.0.0.0/0            0.0.0.0/0           
   66  9195 ACCEPT     udp  --  *      *       0.0.0.0/0            224.0.0.251         udp dpt:5353 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:631 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:631 
90284   11M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
    7   420 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 
 500K  317M REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

答案1

我不是rsyslog专家，但阅读文档你可能需要

$UDPServerRun 514

因为您只有针对 TCP 的类似指令。

答案2

运行ps -eaf | grep syslog以确保它使用选项运行-r。

否则，您应该/etc/default/rsyslog使用选项进行编辑：

RSYSLOGD_OPTIONS="-m 0 -r"

重新启动 syslogd 并检查。

答案3

您已经澄清，您的防火墙不接受任意入站 UDP，至少不在端口 514 上接受，这肯定会有问题。

如果你愿意粘贴iptables -L -n -v 进入你的问题，我们可以建议一行iptables打开 rsyslog 的传入 UDP。如果做不到这一点，可以这样写：

iptables -I INPUT 1 -p udp --dport 514 -j ACCEPT

可能会起到作用。

编辑：感谢您的iptables输出，但是虽然您允许来自 server_A 的 UDP，但您只允许它在接口中eth0；您能确认那是正确的接口吗？

答案4

我找到了一种方法来让它工作。这可能不是最好的解决方案，但我的老板建议我关闭iptables，这样一切都会正常工作。为了防止这种情况再次发生，我运行了chkconfig iptables off。这样它就不会在服务器重启时再次运行。

这是一个坏主意吗，即使服务器 A 无法访问小型服务器网络之外的服务器。

相关内容