14.5. 配置 TLS 加密的远程日志记录

流程

1. 配置服务器以从您的客户端系统接收加密日志：

   1. 在 /etc/rsyslog.d/ 目录中创建一个新文件，例如 securelogser.conf。

   2. 要加密通信，配置文件必须包含指向服务器的证书文件的路径、所选身份验证方法，以及支持 TLS 加密的流驱动程序。在 /etc/rsyslog.d/securelogser.conf 文件中添加以下行：

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/server-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/server-key.pem"
      )
      
      # TCP listener
      module(
        load="imtcp"
        PermittedPeer=["client1.example.com", "client2.example.com"]
        StreamDriver.AuthMode="x509/name"
        StreamDriver.Mode="1"
        StreamDriver.Name="ossl"
      )
      
      # Start up listener at port 514
      input(
        type="imtcp"
        port="514"
      )

      注意

      如果您更喜欢 GnuTLS 驱动程序，请使用 StreamDriver.Name="gtls" 配置选项。有关比 x509/name 严格性低的验证模式的更多信息，请参阅使用 rsyslog-doc 软件包安装的文档。

   3. 可选：在 RHEL 9.4 中提供的 Rsyslog 版本 8.2310 开始，您可以自定义连接配置。为此，将 input 部分替换为以下内容：

      input(
        type="imtcp"
        Port="50515"
        StreamDriver.Name="<driver>"
        streamdriver.CAFile="/etc/rsyslog.d/<ca1>.pem"
        streamdriver.CertFile="/etc/rsyslog.d/<server1-cert>.pem"
        streamdriver.KeyFile="/etc/rsyslog.d/<server1-key>.pem"
      )

      • 根据您要使用的驱动程序，将 <driver> 替换为 ossl 或 gtls。
      • 将 <ca1> 替换为 CA 证书，将 <server1-cert> 替换为证书，将 <server1-key> 替换为自定义连接的密钥。
   4. 将更改保存到 /etc/rsyslog.d/securelogser.conf 文件。

   5. 验证 /etc/rsyslog.conf 文件的语法以及 /etc/rsyslog.d/ 目录中的任何文件：

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   6. 确保 rsyslog 服务在日志记录服务器中运行并启用：

      # systemctl status rsyslog

   7. 重启 rsyslog 服务：

      # systemctl restart rsyslog

   8. 可选：如果没有启用 Rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

2. 配置客户端以将加密日志发送到服务器：

   1. 在客户端系统上，在 /etc/rsyslog.d/ 目录中创建一个名为 的新文件，如 securelogcli.conf。

   2. 在 /etc/rsyslog.d/securelogcli.conf 文件中添加以下行：

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/client-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/client-key.pem"
      )
      
      
      # Set up the action for all messages
      *.* action(
        type="omfwd"
        StreamDriver="ossl"
        StreamDriverMode="1"
        StreamDriverPermittedPeers="server.example.com"
        StreamDriverAuthMode="x509/name"
        target="server.example.com" port="514" protocol="tcp"
      )

      注意

      如果您更喜欢 GnuTLS 驱动程序，请使用 StreamDriver.Name="gtls" 配置选项。

   3. 可选：在 RHEL 9.4 中提供的 Rsyslog 版本 8.2310 开始，您可以自定义连接配置。为此，将 action 部分替换为以下内容：

      local1.* action(
        type="omfwd"
        StreamDriver="<driver>"
        StreamDriverMode="1"
        StreamDriverAuthMode="x509/certvalid"
        streamDriver.CAFile="/etc/rsyslog.d/<ca1>.pem"
        streamDriver.CertFile="/etc/rsyslog.d/<client1-cert>.pem"
        streamDriver.KeyFile="/etc/rsyslog.d/<client1-key>.pem"
        target="server.example.com" port="514" protocol="tcp"
        )

      • 根据您要使用的驱动程序，将 <driver> 替换为 ossl 或 gtls。
      • 将 <ca1> 替换为 CA 证书，将 <client1-cert> 替换为证书，将 <client1-key> 替换为自定义连接的密钥。
   4. 将更改保存到 /etc/rsyslog.d/securelogcli.conf 文件中。

   5. 验证 /etc/rsyslog.conf 文件的语法以及 /etc/rsyslog.d/ 目录中的其他文件：

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   6. 确保 rsyslog 服务在日志记录服务器中运行并启用：

      # systemctl status rsyslog

   7. 重启 rsyslog 服务：

      # systemctl restart rsyslog

   8. 可选：如果没有启用 Rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统上，查看 /var/log/messages 日志，例如：

   # cat /var/log/remote/msg/<hostname>/root.log
   Feb 25 03:53:17 <hostname> root[6064]: test

   其中 <hostname> 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。