개요
Syslog Server 설정은 분산된 리눅스/윈도우 서버의 이벤트 로그를 중앙에서 수집·관리하기 위한 필수 인프라 구성입니다. rsyslog 기반의 Server Side에서 수신 설정을 하고, 각 Client 서버에서 원격 Syslog 서버 IP를 지정하면 로그가 자동으로 중앙 서버로 전송됩니다. 이 글에서는 CentOS 6/7 환경의 rsyslog 설정과 Windows의 eventlog-to-syslog 연동 방법을 정리합니다.
Server Side
- CentOS(RHEL)의 경우 기본 경로는 /var/log/* 이며 필요시 아래와 같이 /logs/* 로 변경이 가능 합니다.
- CentOS 7 설치
# vi /etc/rsyslog.conf
// 커널 로그 모듈 활성화
$ModLoad imklog
// 로그 저장 경로 변경 또는 추가
*.info;mail.none;authpriv.none;cron.none /logs/messages
authpriv.* /logs/secure
cron.* /logs/cron
uucp,news.crit /logs/spooler
local7.* /logs/boot.log
// Service 재시작
# systemctl restart rsyslog
- CentOS 6 설치
# vi /etc/rsyslog.conf
// 커널 로그 모듈 활성화
$ModLoad imklog
// 로그 저장 경로 변경 또는 추가
*.info;mail.none;authpriv.none;cron.none /logs/messages
authpriv.* /logs/secure
cron.* /logs/cron
uucp,news.crit /logs/spooler
local7.* /logs/boot.log
// Service 재시작
# service rsyslog restart
Client Side
- 리눅스의 경우 rsyslog.conf 또는 syslog.conf에 아래 행을 추가 하여 Syslog 서버로 로그를 전송할 수 있습니다.
- CentOS 7 설치
# vi /etc/rsyslog.conf
// 커널 로그 모듈 활성화
$ModLoad imklog
// 로그 서버 IP(ex> x.x.x.x) 또는 Hostname 추가
*.* @x.x.x.x
// Service 재시작
# systemctl restart rsyslog- CentOS 6 설치
# vi /etc/rsyslog.conf
// 커널 로그 모듈 활성화
$ModLoad imklog
// 로그 서버 IP(ex> x.x.x.x) 또는 Hostname 추가
*.* @x.x.x.x
// Service 재시작
# service rsyslog restart- Windows 설치(eventlog-to-syslog)
- 윈도우 계열의 이벤트로그(eventlog)를 Syslog 서버로 전송
- App 다운 및 압축 해제(http://code.google.com/p/eventlog-to-syslog)
- 해당 파일을 C:\Windows\System32\ 로 복사
- evtsys 서비스 설치(아래 Prompt 또는 Powershell 실행)
- services.msc 실행 서비스 등록 확인 후 속성에서 시작 유형 ‘자동’ / 변경 후 서비스 시작
// x.x.x.x의 Syslog 서버의 514 포트로 이벤트로그를 전송하는 서비스 설치
C:\Windows\System32> evtsys -i -h x.x.x.x -p 514| Usage: evtsys -i|-u|-d [-h host[;host2;…]] [-f facility] [-p port] [-t tag] [-s minutes] [-q bool] [-l level] [-n] [-a] -i Install service -u Uninstall service -d Debug: run as console program -a Use our IP address (or fqdn) in the syslog message -h hosts Name of log host(s), separated by a ‘;’ -f facility Facility level of syslog message -l level Minimum level to send to syslog 0=All/Verbose, 1=Critical, 2=Error, 3=Warning, 4=Info -n (**Win9x/Server 2003 Only**) Include only those events specified in the config file -p port Port number of syslogd -q bool Query the Dhcp server to obtain the syslog/port to log to (0/1 = disable/enable) -t tag Include tag as program field in syslog message -s minutes Optional interval between status messages. 0 = Disabled Default port: 514 |
참고
참고 문서: rsyslog 공식 설정 문서 · rsyslog.conf(5) man page
