9장. 로깅 구성

절차

1. 선택 사항: rsyslog 트래픽에 다른 포트를 사용하려면 syslogd_port_t SELinux 유형을 포트에 추가합니다. 예를 들어 포트 30514 를 활성화합니다.

   # semanage port -a -t syslogd_port_t -p tcp 30514

2. 선택 사항: rsyslog 트래픽에 다른 포트를 사용하려면 해당 포트에서 들어오는 rsyslog 트래픽을 허용하도록 firewalld 를 구성합니다. 예를 들어 포트 30514 에서 TCP 트래픽을 허용합니다.

   # firewall-cmd --zone=<zone-name> --permanent --add-port=30514/tcp
   success
   # firewall-cmd --reload

3. /etc/rsyslog.d/ 디렉토리(예: remotelog.conf )에 새 파일을 생성하고 다음 내용을 삽입합니다.

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides TCP syslog reception
   module(load="imtcp")
   
   # Adding this ruleset to process remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imtcp" port="30514" ruleset="remote1")

4. /etc/rsyslog.d/remotelog.conf 파일에 변경 사항을 저장합니다.

5. /etc/rsyslog.conf 파일의 구문을 테스트합니다.

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

6. 로깅 서버에서 rsyslog 서비스가 실행 중이고 활성화되어 있는지 확인합니다.

   # systemctl status rsyslog

7. rsyslog 서비스를 다시 시작합니다.

   # systemctl restart rsyslog

8. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인하십시오.

   # systemctl enable rsyslog

절차

1. /etc/rsyslog.d/ 디렉토리에 라는 새 파일을 만듭니다(예: 10-remotelog.conf ).

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="30514" protocol="tcp"
        )

   다음과 같습니다.

   • queue.type="linkedlist" 설정은 LinkedList in-memory 큐를 활성화합니다.
   • queue.filename 설정은 디스크 스토리지를 정의합니다. 백업 파일은 이전 global workDirectory 지시문에서 지정한 작업 디렉터리에 example_fwd 접두사를 사용하여 생성됩니다.
   • action.resumeRetryCount -1 설정은 서버가 응답하지 않는 경우 연결을 다시 시도할 때 rsyslog 가 메시지를 삭제하지 않도록 합니다.
   • rsyslog 가 종료되면 queue.saveOnShutdown="on" 설정은 메모리 내 데이터를 저장합니다.

   • 마지막 줄은 수신된 모든 메시지를 로깅 서버로 전달합니다. 포트 사양은 선택 사항입니다.

     이 구성을 사용하면 rsyslog 에서 서버로 메시지를 전송하지만 원격 서버에 연결할 수 없는 경우 메시지를 메모리에 유지합니다. 디스크의 파일은 rsyslog 가 구성된 메모리 대기열 공간에서 부족하거나 시스템 성능을 향상시킬 수 있는 를 종료해야 하는 경우에만 생성됩니다.

   참고

   rsyslog는 사전 순서로 구성 파일 /etc/rsyslog.d/ 를 처리합니다.

2. rsyslog 서비스를 다시 시작합니다.

   # systemctl restart rsyslog

1. 클라이언트 시스템에서 테스트 메시지를 전송합니다.

   # logger test

2. 서버 시스템에서 /var/log/messages 로그를 확인합니다. 예를 들면 다음과 같습니다.

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   여기서 hostname 은 클라이언트 시스템의 호스트 이름입니다. 로그에는 로거 명령을 입력한 사용자의 사용자 이름이 포함됩니다(이 경우 root ).

절차

1. 클라이언트 시스템에서 암호화된 로그를 수신하도록 서버를 구성합니다.

   1. /etc/journal.d/ 디렉토리에 라는 새 파일을 만듭니다(예: securelogser.conf ).

   2. 통신을 암호화하려면 구성 파일에 서버의 인증서 파일 경로, 선택한 인증 방법 및 TLS 암호화를 지원하는 스트림 드라이버가 포함되어야 합니다. /etc/octets.d/securelogser.conf 파일에 다음 행을 추가합니다.

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/server-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/server-key.pem"
      )
      
      # TCP listener
      module(
        load="imtcp"
        PermittedPeer=["client1.example.com", "client2.example.com"]
        StreamDriver.AuthMode="x509/name"
        StreamDriver.Mode="1"
        StreamDriver.Name="ossl"
      )
      
      # Start up listener at port 514
      input(
        type="imtcp"
        port="514"
      )

      참고

      GnuTLS 드라이버를 선호하는 경우 StreamDriver.Name="gtls" 구성 옵션을 사용합니다. x509/name 보다 엄격한 인증 모드에 대한 자세한 내용은 rsyslog-doc 패키지로 설치된 설명서를 참조하십시오.

   3. /etc/octets.d/securelogser.conf 파일에 변경 사항을 저장합니다.

   4. /etc/octets.conf 파일 구문 및 /etc/octets.d/ 디렉토리에 있는 모든 파일을 확인합니다.

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   5. 로깅 서버에서 rsyslog 서비스가 실행 중이고 활성화되어 있는지 확인합니다.

      # systemctl status rsyslog

   6. rsyslog 서비스를 다시 시작하십시오.

      # systemctl restart rsyslog

   7. 선택 사항: Rsyslog가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작됩니다.

      # systemctl enable rsyslog

2. 암호화된 로그를 서버에 전송하도록 클라이언트를 구성합니다.

   1. 클라이언트 시스템에서 /etc/journal.d/ 디렉토리에 라는 새 파일을 만듭니다(예: securelogcli.conf ).

   2. /etc/octets.d/securelogcli.conf 파일에 다음 행을 추가합니다.

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/client-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/client-key.pem"
      )
      
      
      # Set up the action for all messages
      *.* action(
        type="omfwd"
        StreamDriver="ossl"
        StreamDriverMode="1"
        StreamDriverPermittedPeers="server.example.com"
        StreamDriverAuthMode="x509/name"
        target="server.example.com" port="514" protocol="tcp"
      )

      참고

      GnuTLS 드라이버를 선호하는 경우 StreamDriver.Name="gtls" 구성 옵션을 사용합니다.

   3. /etc/rsyslog.d/securelogcli.conf 파일에 변경 사항을 저장합니다.

   4. /etc/rsyslog.conf 파일 및 기타 파일의 구문을 /etc/rsyslog.d/ 디렉터리에 확인합니다.

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   5. 로깅 서버에서 rsyslog 서비스가 실행 중이고 활성화되어 있는지 확인합니다.

      # systemctl status rsyslog

   6. rsyslog 서비스를 다시 시작하십시오.

      # systemctl restart rsyslog

   7. 선택 사항: Rsyslog가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작됩니다.

      # systemctl enable rsyslog

1. 클라이언트 시스템에서 테스트 메시지를 전송합니다.

   # logger test

2. 서버 시스템에서 /var/log/messages 로그를 확인합니다. 예를 들면 다음과 같습니다.

   # cat /var/log/remote/msg/<hostname>/root.log
   Feb 25 03:53:17 <hostname> root[6064]: test

   여기서 <hostname >은 클라이언트 시스템의 호스트 이름입니다. 로그에는 로거 명령을 입력한 사용자의 사용자 이름이 포함됩니다(이 경우 root ).

절차

1. 선택 사항: 기본 포트 514 가 아닌 rsyslog 트래픽에 다른 포트를 사용하려면 다음을 수행합니다.

   1. syslogd_port_t SELinux 유형을 SELinux 정책 구성에 추가하고 portno 를 rsyslog 에서 사용할 포트 번호로 바꿉니다.

      # semanage port -a -t syslogd_port_t -p udp portno

   2. 들어오는 rsyslog 트래픽을 허용하고 portno 를 포트 번호 및 영역으로 교체하여 rsyslog 에서 사용할 영역으로 교체하도록 firewalld 를 구성합니다.

      # firewall-cmd --zone=zone --permanent --add-port=portno/udp
      success
      # firewall-cmd --reload

   3. 방화벽 규칙을 다시 로드합니다.

      # firewall-cmd --reload

2. /etc/rsyslog .d/ 디렉토리(예: remotelogserv. conf )에 새.conf 파일을 생성하고 다음 내용을 삽입합니다.

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides UDP syslog reception
   module(load="imudp")
   
   # This ruleset processes remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imudp" port="514" ruleset="remote1")

   여기서 514 는 기본적으로 사용하는 포트 번호 rsyslog 입니다. 대신 다른 포트를 지정할 수 있습니다.

3. /etc/rsyslog. d/ 디렉터리에 있는 /etc/rsyslog .conf 파일의 구문과 all. conf 파일을 확인합니다.

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...

4. rsyslog 서비스를 다시 시작합니다.

   # systemctl restart rsyslog

5. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인하십시오.

   # systemctl enable rsyslog

절차

1. /etc/rsyslog.d/ 디렉토리에 새 .conf 파일을 만듭니다(예: 10-remotelogcli.conf ).

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="portno" protocol="udp"
        )

   다음과 같습니다.

   • queue.type="linkedlist" 설정은 LinkedList in-memory 큐를 활성화합니다.
   • queue.filename 설정은 디스크 스토리지를 정의합니다. 백업 파일은 이전 글로벌 workDirectory 지시문으로 지정된 작업 디렉터리에 example_fwd 접두사를 사용하여 생성됩니다.
   • action.resumeRetryCount -1 설정은 서버가 응답하지 않는 경우 연결을 재시도할 때 rsyslog 가 메시지를 삭제하지 않도록 합니다.
   • rsyslog 가 종료되면 활성화된 queue.saveOnShutdown="on" 설정은 메모리 내 데이터를 저장합니다.
   • portno 값은 rsyslog 에서 사용할 포트 번호입니다. 기본값은 514 입니다.

   • 마지막 행은 수신된 모든 메시지를 로깅 서버로 전달하고 포트 사양은 선택 사항입니다.

     이 구성을 사용하면 rsyslog 에서 서버로 메시지를 전송하지만 원격 서버에 연결할 수 없는 경우 메시지를 메모리에 유지합니다. 디스크의 파일은 rsyslog 가 구성된 메모리 대기열 공간에서 부족하거나 시스템 성능을 향상시킬 수 있는 를 종료해야 하는 경우에만 생성됩니다.

   참고

   rsyslog는 사전 순서로 구성 파일 /etc/rsyslog.d/ 를 처리합니다.

2. rsyslog 서비스를 다시 시작합니다.

   # systemctl restart rsyslog

3. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인하십시오.

   # systemctl enable rsyslog

1. 클라이언트 시스템에서 테스트 메시지를 전송합니다.

   # logger test

2. 서버 시스템에서 /var/log/remote/msg/hostname/root.log 로그를 확인합니다. 예를 들면 다음과 같습니다.

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   여기서 hostname 은 클라이언트 시스템의 호스트 이름입니다. 로그에는 로거 명령을 입력한 사용자의 사용자 이름이 포함됩니다(이 경우 root ).

절차

1. 안정적인 원격 로깅을 위해 클라이언트 시스템을 구성합니다.

   1. 클라이언트 시스템에서 /etc/journal.d/ 디렉토리에 새 . conf 파일을 만듭니다(예: relpclient.conf ).

      module(load="omrelp")
      *.* action(type="omrelp" target="_target_IP_" port="_target_port_")

      다음과 같습니다.

      • target_IP 는 로깅 서버의 IP 주소입니다.
      • target_port 는 로깅 서버의 포트입니다.
   2. /etc/octets.d/relpclient.conf 파일에 변경 사항을 저장합니다.

   3. rsyslog 서비스를 다시 시작합니다.

      # systemctl restart rsyslog

   4. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인하십시오.

      # systemctl enable rsyslog

2. 안정적인 원격 로깅을 위해 서버 시스템을 구성합니다.

   1. 서버 시스템에서 /etc/rsyslog .d/ 디렉터리에 새. conf 파일을 생성합니다(예: relpserv.conf ).

      ruleset(name="relp"){
      *.* action(type="omfile" file="_log_path_")
      }
      
      
      module(load="imrelp")
      input(type="imrelp" port="_target_port_" ruleset="relp")

      다음과 같습니다.

      • log_path 는 메시지를 저장하는 경로를 지정합니다.
      • target_port 는 로깅 서버의 포트입니다. 클라이언트 구성 파일과 동일한 값을 사용합니다.
   2. /etc/rsyslog.d/relpserv.conf 파일에 변경 사항을 저장합니다.

   3. rsyslog 서비스를 다시 시작합니다.

      # systemctl restart rsyslog

   4. 선택 사항: rsyslog 가 활성화되지 않은 경우 재부팅 후 rsyslog 서비스가 자동으로 시작되는지 확인하십시오.

      # systemctl enable rsyslog

1. 클라이언트 시스템에서 테스트 메시지를 전송합니다.

   # logger test

2. 서버 시스템에서 지정된 log_path 의 로그를 확인합니다. 예를 들면 다음과 같습니다.

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   여기서 hostname 은 클라이언트 시스템의 호스트 이름입니다. 로그에는 로거 명령을 입력한 사용자의 사용자 이름이 포함됩니다(이 경우 root ).

절차

1. netconsole-service 패키지를 설치합니다.

   # yum install netconsole-service

2. /etc/sysconfig/netconsole 파일을 편집하고 SYSLOGADDR 매개변수를 원격 호스트의 IP 주소로 설정합니다.

   # SYSLOGADDR=192.0.2.1

3. netconsole 서비스를 활성화하고 시작합니다.

   # systemctl enable --now netconsole