Centralisatie van logs heeft een aantal voordelen, met name natuurlijk met betrekking tot de monitoring, analyse en rapportering. Met veel verschillende hosts heeft het vrijwel geen nut de systemen ieder voor zich de logs te laten verwerken. Daarbij zal een system administrator alle hosts af moeten om te zien wat er gebeurd.

De syslog server configureren

De syslog server configureren is erg gemakkelijk. In het bestand /etc/sysconfig/syslog moet worden vervangen:

# /etc/sysconfig/syslog
SYSLOGD_OPTIONS="-m 0"

voor:

# /etc/sysconfig/syslog
SYSLOGD_OPTIONS="-r -m 0"

waar de optie -r staat voor ‘remote’. Hiermee geef je aan, dat je syslog server ook geschikt moet zijn voor remote messages.

Herstart nu de syslog server:

# service syslog restart
Shutting down kernel logger: [  OK  ]
Shutting down system logger: [  OK  ]
Starting system logger: [  OK  ]
Starting kernel logger: [  OK  ]
#

Firewall regels van toepassing op syslog servers

syslog gebruikt poort 514 over het TCP/IP protocol UDP:

# grep syslog /etc/services
syslog          514/udp

Deze zal dus door je firewall moeten worden toegelaten!

De syslog client configureren

Ook de syslog client is erg gemakkelijk te configureren. In het bestand /etc/syslog.conf staan (ongeveer) de volgende regels:

# /etc/syslog.conf
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
kern.*                                                 /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog


# Log cron stuff
cron.*                                                  /var/log/cron

# Everybody gets emergency messages
*.emerg                                                 *

# Save news errors of level crit and higher in a special file.
uucp,news.crit                                          /var/log/spooler

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log

Hier staat bijvoorbeeld, dat alle logging met betrekking tot de kernel (kern) moet worden gelogged naar /dev/console. We gaat ervoor zorgen dat deze logging ook naar de syslog server (syslog.kanarip.com) wordt verstuurd:

*.*                                                     @syslog.kanarip.com

Herstart de syslog server (op de client!):

# service syslog restart
Shutting down kernel logger: [  OK  ]
Shutting down system logger: [  OK  ]
Starting system logger: [  OK  ]
Starting kernel logger: [  OK  ]

en zie op de server waar nu log messages binnen zouden moeten komen, of dit ook gebeurd:

# tail -f /var/log/messages

Heb je geen zin om te wachten? Geef dan het volgende commando op de syslog client:

# /usr/bin/logger -t test -i Wij houden allemaal van Fedora-Linux.nl!