Configuración de servidor de logs

Para realizar el monitoreo de un grupo de servidores se lo puede hacer mediante la configuración de un servidor centralizado de logs para lo cual vamos a ver como se realiza esta configuración.

1.- Configuración servidor de logs

Instalación del servidor de monitoreo.
[root@dark ~]# yum install rsyslog

Modificar el archivo de configuración  al rededor de la linea 14
[root@dark ~]# vim /etc/rsyslog.conf

Contenido del archivo rsyslog

# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

Reiniciar el servidor de logs 
[root@dark ~]# systemctl restart rsyslog.service

Modificación del firewall del servidor de logs.

[root@dark ~]#firewall-cmd --permanent --zone=public --add-port=514/tcp
[root@dark ~]#firewall-cmd --permanent --zone=public --add-port=514/udp
[root@dark ~]#firewall-cmd --reload

Para monitorear los logs se lo puede ver a través de el siguiente log.

[root@dark ~]# tailf /var/log/messages

Para configurar un directorio por cada servidor monitoreado se debe realizar el siguiente cambio en el archivo /etc/rsyslog.conf

$template RemoteLogs,"/var/log/%HOSTNAME%/%PROGRAMNAME%.log" *
*.*  ?RemoteLogs
& ~

*.info,mail.none,authpriv.none,cron.none    ?RemoteLogs


2.- Configuración en los servidores monitoreados.

Instalar el rsyslog si para poder configurarlo como cliente del servidor de monitoreo.

Modificar el archivo de configuración
Al final del archivo /etc/rsyslog.conf aumentar las siguientes líneas.

# Dirección IP del servidor de logs

# Para monitorear los servicios principales
*.info;mail.none;authpriv.none;cron.none   @192.168.1.234
# Para monitorear todos los servicios
*.*   @192.168.1.234

Reiniciar el servidor de logs 
[root@cliente ~]# systemctl restart rsyslog.service