远程日志管理:

S:192.168.100.100

C:192.168.100.150

1.S,C端安装rsyslog

yum -y install rsyslog

clip_image002

2.修改S端配置监听514端口,提供远程日志存放。

vi /etc/rsyslog.conf ##去掉13,14,17,18的注释,开启tcp和udp的监听端口

12 # Provides UDP syslog reception

13 $ModLoad imudp

14 $UDPServerRun 514

15

16 # Provides TCP syslog reception

17 $ModLoad imtcp

18 $InputTCPServerRun 514

:wq

clip_image004

[root@ipa ~]# vi /etc/rsyslog.d/remote.conf ##新建 存放日志的文件

:fromhost,isequal, "192.168.10.43" /var/log/remote_100.150.log ##指定

客户端日志存放位置

:fromhost,isequal, "192.168.10.43" ~ ##指定客户端ip(~表示客户端本地不保存该日志)

:wq

clip_image006

/etc/init.d/rsyslog restart

clip_image008

netstat -uptln |grep 514

clip_image010

tail -f /var/log/remote_10.43.log ##跟踪变化

clip_image012

/etc/init.d/iptables stop ##关闭iptables

3.修改C端日志存放位置

vi /etc/rsyslog.conf

*.* @@192.168.10.115:514 ##在最后一行添加,将本机的所有日志存放到S端

:34,63 s/^/#/g ##在末行模式中给34-63行加注释,取消掉原有的日志存放规则

:wq

clip_image014

/etc/init.d/rsyslog restart

clip_image016

4.验证

C端:

logger “test log remote”

clip_image018

S端观察/var/log/remote_10.43.log变化,是否记录

clip_image020

5.扩展:

lastb 查看登录失败日志

clip_image022

last 查看登录成功日志

clip_image024

/var/log/secure ##登录日志

clip_image026

统一存放的日志可以使用awstats分析。

audit日志不归rsyslog管理,上述配置不能实现audit日志远程存放;audit审计

日志,包selinux,权限修改等。