Как организовать сбор логов с интернет-центра на Syslog-сервер, установленный на один из компьютеров локальной сети?
Интернет-центры серии Keenetic могут отправлять системные журналы (логи), содержащие предупреждения, системные сообщения и т.п., на специальный сервер Syslog, предназначенный для сбора и хранения системных сообщений. Журнал отправляется в формате bsd, по UDP, порт 514.
В данной статье приведем примеры отправки логов с интернет-центра Keenetic на Kiwi Syslog Server Free Edition и Tftpd32, находящиеся в локальной домашней сети. Но можно использовать и другие Syslog-серверы (например, Visual Syslog Сервер для Windows, PRTG, Syslog-ng для Unix-систем и др.).
Пример 1. Настройка Syslog-сервера Kiwi Syslog Server
1.1. Скачайте программу Kiwi Syslog Server Free Edition на компьютер.
1.2. Запустите установщик программы. Выберите пункт Install Kiwi Syslog Server as an Application (Установить программу в качестве обычного приложения).
1.3. Далее выберите компоненты, которые вы хотите установить, и папку, в которой будет установлена программа.
Затем нажмите кнопку Install для инсталляции программы на компьютере и дождитесь окончания процесса установки.
1.4. Далее установите галочку в Run Kiwi Syslog Server для запуска программы и нажмите кнопку Finish.
1.5. Откроется окно программы Kiwi Syslog Server. Зайдите в меню File > Setup для продолжения настройки программы.
1.6. В меню Rules > Default > Actions нажмите на Log to file. Здесь вы можете указать путь к папке, где будут храниться лог-файлы и имя файла. Для удобства записи логов по дате укажите формат файла %DateISO.txt.
1.7. Далее перейдите к меню Inputs и добавьте здесь IP-адрес интернет-центра в домашней сети (в нашем примере интернет-центр имеет IP-адрес 192.168.1.1). Нажмите кнопку OK для сохранения настроек.
Затем выйдите из программы, нажав на меню File > Exit.
1.8. Теперь переходите к настройке интернет-центра. Подключитесь к веб-конфигуратору, перейдите на страницу "Диагностика". В разделе "Системный журнал" включите опцию "Использовать Syslog" и затем в поле "Адрес сервера" укажите IP-адрес компьютера, на котором установлена и запущена программа Kiwi Syslog Server (в нашем примере компьютер с Syslog-сервером имеет IP-адрес 192.168.1.33) и нажмите кнопку "Сохранить".
1.9. Вновь запустите программу Kiwi Syslog Server. Если на вашем компьютере включен Брандмауэр Windows (Firewall) или другая программа-файервол, вы можете увидеть сообщение о том, что брандмауэр заблокировал приложение:
Нажмите на кнопку Разрешить доступ (Allow) для корректной работы программы.
1.10. Далее появится окно программы, в котором станут отображаться системные логи с интернет-центра Keenetic.
1.11. Теперь на компьютере перейдите в папку, в которой должны сохраняться лог-файлы (путь к папке вы указали в пункте 1.6. данной инструкции). Вы увидите лог-файл формата [дата].txt, который можно просмотреть в любом текстовом редакторе (например, в Блокноте).
Пример 2. Настройка Syslog-сервера Tftpd32
2.1. Скачайте программу Tftpd32 на компьютер.
Несмотря на название, программа Tftpd32 включает в себя простой в настройке Syslog-сервер.
2.2. Установите программу и запустите ее. Если на вашем компьютере включен Брандмауэр Windows (Firewall) или другая программа-файервол, вы можете увидеть сообщение о том, что брандмауэр заблокировал приложение:
Нажмите на кнопку Разрешить доступ (Allow) для корректной работы программы.
2.3. Вы увидите окно программы Tftpd32. В поле Server interfaces укажите IP-адрес компьютера, на котором будет работать данная программа (Syslog-сервер).
2.4. Затем нажмите кнопку Settings. Убедитесь, что на закладке GLOBAL в разделе Start Services установлена галочка в поле Syslog Server. Далее перейдите на закладку SYSLOG и установите галочку в поле Save syslog message To file и укажите имя лог-файла (например, syslog.txt).
2.5. Теперь переходите к настройке интернет-центра. Подключитесь к веб-конфигуратору, перейдите на страницу "Диагностика". В разделе "Системный журнал" включите опцию "Использовать Syslog" и затем в поле "Адрес сервера" укажите IP-адрес компьютера, на котором установлена и запущена программа Kiwi Syslog Server (в нашем примере компьютер с Syslog-сервером имеет IP-адрес 192.168.1.33) и нажмите кнопку "Сохранить".
2.6. В окне программы Tftpd32 на вкладке Syslog server вы должны увидеть системные сообщения (логи), поступающие с интернет-центра Keenetic.
В папке с программой Tftpd32 также будет сохраняться системный журнал вашего интернет-центра в указанный файл (в нашем примере в файл syslog.txt). Данный файл можно просмотреть в любом текстовом редакторе (например, в Блокноте).
Примечание
1. Категории журналирования (local0 - local7) на внешнем Syslog-сервере менять нельзя.
2. При необходимости можно выполнить смену номера порта для работы с Syslog-сервером следующей командой:
(config)> system log server {address[:port]}
После выполнения этой команды добавляется ещё один сервер (идентичный предыдущему), но с другим номером порта. Для смены порта нужно удалить старую запись целиком и задать новую.
Веб-интерфейс при смене настроек удаляет все имеющиеся записи и добавляет новую.
Приведем пример сбора логов с роутера Keenetic.
Если вам неудобно читать логи в консоли, можно визуализировать отчетность и воспользоваться пакетом LogAnalizer, представляющим веб-интерфейс для работы с логами.
За информацией по настройке Rsyslog, LogAnalizer и других Syslog-серверов обратитесь на сайт разработчика сервера или в Интернете.
Комментарии
Я являюсь владельцем роутера keenetic giga 2. После нескольких часов безуспешных экспериментов я прочел документацию и все заработало. Я тестировал на дебиан 9.
1. Включаем модуль imudp. В файле /etc/rsyslog.conf раскомментируем строчку module(load="imudp").
2. Создаем файл /etc/rsyslog.d/40-zyxellog.conf и в него помещаем обработку ruleset(name="remote514"){
action(type="omfile" file="/var/log/remote514.log")
}
input(type="imudp" port="514" ruleset="remote514" name="zyxel")
Теперь лог с роутера будет записываться в файл /var/log/remote514.log
3. Посмотрев лог, я увидел, что в него спамит модуль роутера radvd. Это модуль для ipv6. Поскольку у меня ipv6 провайдером не поддерживается, я его отключил и спам прекратился.
Подскажите, после настройки Tftpd32 в windows, можно закрыть его окно? Журнал при этом продолжит записываться? Или запись приостановится?
Иначе говоря, надо ли держать программу постоянно запущенной/свернутой на панели задач?
Окно программы Tftpd32 не закрывайте, а просто сверните окно. Сервер должен быть запущен.
Кажется facility теперь не local0, а user и deamon и kern
Долго разбирался с настройкой rsyslog сервера по данной инструкции. Вроде бы все делал правильно, но логи в нужный файл не попадали. Хотя на сервере сообщения от роутера я видел в общих журналах syslog и messages
В итоге сделал вот такой шаблон:
$template Keenetic,"/var/log/%HOSTNAME%/%syslogfacility-text%.log"
*.* ?Keenetic
И в директории с хостнеймом роутера появились файлы:
Возможно какие-то события создадут еще какой-то журнал.
Хочется, все же, чтобы все сообщения от роутера попадали в один лог, а не в несколько.
Поправьте, пожалуйста.
Поделюсь своим решением. Все события от роутера собираются в один файл и не засоряют другие логи.
1) Открываем /etc/rsyslog.conf
Снимаем комментарии со строк:
module(load="imudp")
input(type="imudp" port="514")
2) В папке /etc/rsyslog.d создаём файл 40-keenetic.conf
Вставляем в него:
if $fromhost-ip == '192.168.1.1' then {
/var/log/keenetic.log
stop
}
3) service rsyslog restart
Команда из пункта 2 проверяет пришло ли событие с адреса 192.168.1.1. Если ДА, то событие пишется в лог /var/log/keenetic.log и его обработка прекращается. ИНАЧЕ - ничего (обработка пойдёт согласно правилам из файла 50-default.conf).
Giga (KN-1010) 3.5.4, Kubuntu 20.04.1 LTS
Войдите в службу, чтобы оставить комментарий.