转自http://blog.itpub.net/26739940/viewspace-1176574/

博主 雨夜风灵的沙滩



CentOS 6.5+Syslog-ng+LogZilla搭建中央日志服务器                                  

               

 概述

syslog-ng是基于syslog协议的Unix和类Unix系统的开源软件。它基于原来syslogd的模型,扩展了富的过滤功能,灵活的配置选项,添加了重要的功能,如使用TCP进行传输系统日志。

logzilla 是一个 syslog 和其他网络事件数据的 Web 前端工具,提供简单易用的日志浏览、搜索和基本分析以及图表显示。

本文环境为CENTOS 6.5平台部署SYSLOG-NG+LOGZILLA,其中logzilla 2.99o为最后一免费版本。

环境要求

CENTOS 6.5 X64

安装过程

安装介质

http://www.balabit.com/downloads/files?path=/syslog-ng/open-source-edition/3.3.5/source/ eventlog_0.2.12.tar.gz

syslog-ng_3.3.5.tar.gz

http://www.balabit.com/downloads/files?path=/libol/0.3/

libol-0.3.15.tar.gz

http://blog.liuts.com/attachment.php?fid=340

logzilla_v2.9.9o.tgz

SYSLOG-NG配置

 用root用户登录

 调整时间

#hwclock --set --date="2014/06/04 19:49"

#hwclock -hctosys

配置本地YUM源

#mkdir /mnt/cdrom

#mount /dev/cdrom /mnt/cdrom

#cd /etc/yum.repos.d/

#mv rhel-source.repo rhel-source.repo.bak

#vi media.repo

 

[media]

name=media

baseurl=file:///mnt/cdrom

enabled=1

gpgcheck=0

配置前先关闭iptables和SELINUX,避免安装过程中报错。

# service iptables stop

# setenforce 0

# vi /etc/sysconfig/selinux

---------------

SELINUX=disabled

安装MYSQL PHP APACHE

# yum install mysql-server mysql-devel libcurl-devel net-snmp-devel php php-gd php-xml php-mysql  httpd

安装eventlog

创建安装目录

#mkdir /etc/eventlog

将安装文件解压至安装目录

上传安装文件至/etc/eventlog下

#tar zxvf eventlog_0.2.12.tar.gz

编译安装

#cd /etc/eventlog/eventlog-0.2.12

#./configure --prefix=/etc/eventlog && make && make install

安装libol(最新的libol可能导致Syslog-NG不能安装)

创建安装目录

# /mkdir /etc/libol

将安装文件解压至安装目录

上传安装文件至/etc/libol下

#tar xvf libol-0.3.15.tar

编译安装

#cd /etc/libol/libol-0.3.15

#./configure --prefix=/etc/libol && make && make install  

安装Syslog-NG

创建安装目录

# mkdir /etc/syslogng

将安装文件解压至安装目录

上传安装文件至/etc/syslogng下

#tar zxvf syslog-ng_3.3.5.tar.gz

编译安装

#cd /etc/syslogng/syslog-ng-3.3.5

#export PKG_CONFIG_PATH=/etc/eventlog/lib/pkgconfig

#./configure --prefix=/etc/syslogng --with-libol=/etc/libol && make && make install

configure: error: Cannot find eventlog version >= 0.2: is pkg-config in path? (若出现这个错误,基本上是由于前面的PKG_CONFIG_PATH变量没指定好)  

编辑SYSLOG-NG配置文件

#cp contrib/init.d.RedHat /etc/init.d/syslog-ng 

#cd /etc/syslogng/etc/

#mv syslog-ng.conf syslog-ng.conf.bak

#vi syslog-ng.conf

@version:3.3.5

options {

        long_hostnames(off);

        log_msg_size(8192);

        flush_lines(1);

        log_fifo_size(20480);

        time_reopen(10);

        use_dns(yes);

        dns_cache(yes);

        use_fqdn(yes);

        keep_hostname(yes);

        chain_hostnames(no);

        perm(0644);

        stats_freq(43200);

};

 

source s_internal {

        internal();

};

 

source s_local {

        unix-stream("/dev/log" max-connections(50));

        file("/proc/kmsg" program_override("kernel: "));

};

#使用514端口会与服务器本身的RSYSLOG产生冲突,建议可直接关闭RSYSLOG,配置SYSLOGNG同时接受服务器日志。

source s_src {

        tcp(ip(0.0.0.0) port(514));

        udp(ip(0.0.0.0) port(514));

};

 

destination d_syslognglog {

        file("/var/log/syslog-ng.log");

};

 

destination d_mysql {

        program("/usr/bin/mysql -usyslogadmin -psyslogadmin syslog"

        template("INSERT INTO logs (host, facility, priority, level, tag, fo, program, msg, seq)       

        VALUES ( '$HOST', '$FACILITY', '$PRIORITY', '$LEVEL', '$TAG', '$YEAR-$MONTH-$DAY $HOUR:$MIN:$SEC', '$PROGRAM', '$MSG', '$SEQ' );\n")

        template-escape(yes));

 

};


#在服务器文件下保存信息,用于调试mysql接收到数据

#destination r_messages {

#       file("/var/log/syslog-ng/$YEAR$MONTH$DAY/$HOST/messages"  

#       owner("root") group("root")  

#       perm(0640) dir_perm(0750)  

#      create_dirs(yes)

#       );

#};

 

log {

        source(s_internal);

        destination(d_syslognglog);

};

 

log {

        source(s_local);

        destination(d_mysql);

#       destination(r_messages);

};

 

log {

        source(s_src);

        destination(d_mysql);

#        destination(r_messages);

};

 


 设置开机启动

#vi /etc/init.d/syslog-ng

开头添加

#!/bin/bash

#chkconfig: 2345 12 88

#Description: syslog-ng

修改PATH INIT_PROGINIT_OPTS

PATH=/bin:/sbin:/usr/bin:/usr/sbin:/etc/syslogng/bin:/etc/syslogng/sbin

INIT_PROG="/etc/syslogng/sbin/syslog-ng"                 # Full path to daemon         

INIT_OPTS="-f /etc/syslogng/etc/syslog-ng.conf"          # options passed to daemon

赋权限,添加服务

#chmod +x /etc/init.d/syslog-ng

#chkconfig --add syslog-ng

#service syslog-ng start

 

Starting syslog-ng: /usr/local/syslog-ng/sbin/syslog-ng: error while loading shared libraries: libevtlog.so.0: cannot open shared object file: No such file or directory    

Starting Kernel Logger: 出现此错误是因为共享库链接没做好    

#ln -s /etc/eventlog/lib/* /lib/  

#ln -s /etc/eventlog/lib/* /lib64/  


防火墙开放服务端口

#service iptables start

/sbin/iptables -I INPUT -p tcp --dport 514 -j ACCEPT

/sbin/iptables -I INPUT -p udp --dport 514 -j ACCEPT

 

#/etc/init.d/iptables save

#/etc/init.d/iptables status

 


 LOLZILLA配置

用root用户登录

配置前先关闭iptables和SELINUX,避免安装过程中报错。

# service iptables stop

# setenforce 0

# vi /etc/sysconfig/selinux

---------------

SELINUX=disabled

上传安装文件至apache目录下

# cd /var/www/html

# tar zxvf logzilla_v2.9.9o.tgz

#chown -R root.root php-syslog-ng

#service mysqld restart

#service httpd restart

 修改php环境

为配合php-syslog-ng对php环境的要求,请修改/etc/php.ini中的内容为:

display_errors = On
magic_quotes_gpc = On
memory_limit =256M 
max_execution_time = 90

 创建日志目录

# mkdir -p /var/log/httpd/php-syslog-ng
# mkdir -p /var/log/php-syslog-ng

配置虚拟机(配置apache安全)

这部分,请根据apache实际情况操作。以默认系统为例,虚拟主机配置文件都放在/etc/httpd/conf/httpd.conf,加入下面内容。

# PHP-SYSLOG-NG

   ServerName zbserver

   ServerAdmin zhjixi1234@163.com

   DocumentRoot /var/www/html/php-syslog-ng/html

    

       Options FollowSymLinks

       AllowOverride All

    

    

       # pcw No directory listings

       # Options Indexes FollowSymLinks MultiViews

       Options -Indexes FollowSymLinks MultiViews

       AllowOverride All

       Order allow,deny

       allow from all

    

    

       Deny from all

    

   ErrorLog /var/log/httpd/php-syslog-ng/error.log

   # Possible values include: debug, info, notice, warn, error, crit,

   # alert, emerg.

   LogLevel warn

   CustomLog /var/log/httpd/php-syslog-ng/access.log combined

   ServerSignature On

 

修改权限

chmod 777 /var/www/html/php-syslog-ng/html/config

chmod 777 /var/www/html/php-syslog-ng/html/jpcache

chmod 777 /var/www/html/php-syslog-ng/html/config/config.php

重启服务

#service httpd restart

WEB配置

在浏览器输入网址,进入安装向导

访问http://IP



查看协议:

配置数据库参数:

其中需要注意:
MySQL User Name:填入数据库管理用户,其必须有创建数据库和分派权限的能力;

MySQL Password:数据库管理用户的密码;

(可以使用 set password=password('密码');flush privileges;)
MySQL Database Name:php-syslog-ng使用的数据库命令,安装程序会使用上面的用户自动创建;
MySQL Port:数据库使用的端口
MySQL Table Prefix:表的前缀,但不要使用'old_',其代表备份表;
Syslog User Name:php-syslog-ng用这个用户读取数据库信息;
Syslog User Password:其密码;
Syslog Admin Name:php-syslog-ng用这个用户写入数据库信息;
Syslog Admin Password:其密码;
Drop Existing Tables:是否删除已存在的表;
Backup Old Tables:是否备份旧的表;
Install Sample Data:是否安装示例数据;
Install CEMDB Data:是否安装用于收集Cisco ERROR TABLE的数据。


如果你选择安装CEMDB数据,这需要花费一定的时间:



输入网页的标题:



输入php-syslog-ng的管理信息:

可输入管理员的Email地址,以及管理员密码。
php-syslog-ng会自动创建一个随机密码,及时修改。

安装完成,并会提示你管理员的信息:

至此Web部分已经完成。
但因为,syslog-ng还未把数据导向mysql,所以,此时网页中并没有数据的。

 

可能遇见报时区不正确,修改/etc/php.ini,添加

date.timezone = "Asia/Chongqing"

重启httpd服务

 

修改脚本路径

cd /var/www/html/php-syslog-ng/scripts

sh fixpaths.sh

注:若php-syslog-ng所在路径有html,需要修改脚本。

 配置计划任务

若使用php-syslog-ng对日志进行集中管理,其数据量可能是相当巨大的,必须考虑日志循环的问题。可以使用计划任务实现。

配置计划任务
使用crontab -e加入:

# PHP-Syslog-NG

@daily php /var/www/html/php-syslog-ng/scripts/logrotate.php >> /var/log/php-syslog-ng/logrotate.log

@daily find /var/www/html /php-syslog-ng/html/jpcache/ -atime 1 -exec rm -f '{}' ';'

0,5,10,15,20,25,30,35,40,45,50,55 * * * * php /var/www/html /php-syslog-ng/scripts/reloadcache.php >> /var/log/php-syslog-ng/reloadcache.log

注意:

1、请把运行dbgen.pl的命令删除,该脚本只是用于产生演示数据,详见后面说明。
2、执行php脚本的时候可能会包oci8.so错误,后面也有说明。
3、原find语句存在Bug,请加入-type f选项,否则会报如下的错误:
rm: cannot remove `/var/www/html/php-syslog-ng/html/jpcache/': Is a directory

 配置日志循环

# cp /var/www/html/php-syslog-ng/scripts/contrib/system_configs/logrotate.d /etc/logrotate.d/php-syslog-ng

至此,php-syslog-ng已经全部配置完成

防火墙开放服务端口

#service iptables start

/sbin/iptables -I INPUT -p tcp --dport 80 -j ACCEPT

 

#/etc/init.d/iptables save

#/etc/init.d/iptables status

 

 

问题整理

报错

 Unable to open 'lpd_graph.jpeg' for writing: Permission denied in /var/www/html/php-syslog-ng/html/includes/blocks/graph-logs_per_day.php on line 164 

调整权限/var/www/html/php-syslog-ng/html/lpd_graph.jpeg权限为777

 点击"Graph"的时候,报错:

JpGraph Error Font file "/usr/share/fonts/corefonts/verdana.ttf" is not readable or does not exist.  

原因是,新版的php-syslog-ng考虑到旧版字库版权的问题,使用了verdana.ttf字库。而当前系统目录该字库。

解决办法:从Windows\Fonts目录中拷贝到上述的路径即可;

mkdir -p /usr/share/fonts/truetype/msttcorefonts/

上传文件

图例:

由于PHP版本过高,报错

Deprecated: Function split() is deprecated

将问题页面的plit("\n",$txt)方法替换为preg_split('/\n/',$txt)方法

Deprecated: Function ereg() is deprecated

将问题页面的ereg("\n",$txt)方法替换为preg_match('/\n/',$txt)方法

Deprecated: Function session_unregister()

替换为$_SESSION = NULL

 

 

scripts中的脚本

对scripts目录中其他的文件讲解以下:
请留意,.sh结尾的是bash脚本,可直接执行;而.pl的是perl脚本,使用perl执行;而.php结尾的是php脚本,需使用php命令执行。

1logrotate.php
对php-syslog-ng中的表进行日志循环,其与系统的logrotate不同。该脚本的执行结果,是把每天的日志表备份起来,并创建一个新的日志表供读写。在crontab下,每天自动执行一次。

2syslog2mysql.sh
该脚本是用于创建mysql的pipe管道,让syslog-ng可通过该管道写入mysql中。在crontab下,系统系统的时候自动运行。

3reloadcache.php
该脚本的作用是,当有新的host加入syslog-ng后,更新mysql中的信息。在crontab下,每5分钟运行一次。

4resetusers.sh
用于重置用户表,当忘记admin密码的时候,可运行它。重置后,管理员用户名和密码都是admin。

5drop-old-tables.php
当php-syslog-ng运行一段时间后,由logrotate.php可能会产生大量的旧日志表。使用这个脚本,可删除具有相同前缀的表,例如logs_*等,可方便管理。

6dbgen.pl
logs表无数据,运行../php-syslog-ng/scripts/contrib/dbgen/dbgen.pl

# perl dbgen.pl

Can't locate Net/MySQL.pm in @INC (@INC contains: /usr/local/lib64/perl5 /usr/local/share/perl5 /usr/lib64/perl5/vendor_perl /usr/share/perl5/vendor_perl /usr/lib64/perl5 /usr/share/perl5 .) at dbgen.pl line 22.

BEGIN failed--compilation aborted at dbgen.pl line 22.

该脚本用于产生一些演示数据,在测试php-syslog-ng是否正常时可以运行,其会插入大量数据到mysql中。
因其使用perl编写,故需要使用Net::MySQL模块。
安装模块及运行:

# cp MySQL.pm /usr/lib64/perl5/Net/
#perl /var/www/html/php-syslog-ng/scripts/dbgen.pl

示例:


注意:这个脚本只是演示而已,实际没什么用的。而官方提供的crontab文件里是每小时执行一次的,应把它删掉。

 

Web安全问题

若您配置虚拟主机的时候,使用php-syslog-ng的根目录作为Web根目录,请小心scripts的安全问题。应增加类似:


   Deny from all


   Deny from all

 

 执行php脚本的时候报错

报错信息如下:

# php /var/www/html/php-syslog-ng/scripts/reloadcache.php >> /var/log/php-syslog-ng/reloadcache.log
PHP Warning:  PHP Startup: Unable to load dynamic library '/usr/lib/php/modules/oci8.so' - /usr/lib/php/modules/oci8.so: undefined symbol: OCINlsCharSetNameToId in Unknown on line 0

原因是oci8.so(php和Oracle的接口)不能在未定义前执行,这里也不会使用到该模块。
所以,请修改/etc/php.d/oci8.ini,改为:

; extension=oci8.so

重启httpd服务即可。

◎若一定要使用该模块,可把执行命令的报错信息去掉,即改为:

# php /var/www/html/php-syslog-ng/scripts/reloadcache.php >> /var/log/php-syslog-ng/reloadcache.log 2>/dev/null

但这样就不能看到错误信息了。

WEB不能显示日志问题

因PHP4与当syslog-ng版本,不能正常显示CISCO设备日志问题引起,将CEMDB.class.php替换成支持CISCO设备的旧文件。

 

搜索缓存图表只显示两天的数据,最近三天没有数据?

解决方法:
由于search_cache表采用的是MEMORY存储引擎,有大小的限制,修改一下/etc/my.cnf,在[MYSQLD]添加:
tmp_table_size=1G
max_heap_table_size = 1G
再重启mysql就可以了。
效果图:


总结

搭建完成后,还有一堆问题,这次试验参考了很多网上博客
http://blog.csdn.net/jsjwk/article/details/7942096
http://itnihao.blog.51cto.com/1741976/1176492
http://hi.baidu.com/leolance/item/862ffa5709eb8e9109be172e
。。。等等

感觉LOGZILLA这个2.99免费版本功能不是很完善,BUG很多,例如搜索页面很多的HOST等列表并不能自动刷新。。等等等。
这个版本感觉也就不建议使用在大型的生产系统上。