配置远程Syslog采集

admin

如何对Windows的系统日志进行采集，并通过Syslog协议，自动实时的发送到远程的集中日志分析中心，便于集中式的日志存储和管理。

第一步：安装日志采集工具Nxlog

从Sourceforge下载最新的?Nxlog，并安装。

第二步：获取NXlog配置文件

下载 Windows日志转Syslog发送的配置文件：http://www.biglog.cn/install/windows-biglog.conf，并替换掉该路径下的配置文件：C:\Program Files (x86)\nxlog\conf\nxlog.conf

第三步：注意Windows系列的区别

定位到22行和25行，针对Windows 2003和Windows 2008采用不同的方式进行日志采集。
: x& |- a# P# {: r% f3 `im_msvistalog针对Windows 2008系列，im_mseventlog针对Windows 2003系列。
0 F% B2 ~0 H1 _默认采用支持Windows 2003系列。

第四步、重启Nxlog服务，日志采集开始工作

到Windows服务器管理器里面找到Nxlog服务，并重启。

                               
登录/注册后可看大图

此时可以通过观察nxlog自身日志记录（C:\Program Files (x86)\nxlog\data\nxlog.log），确定是否正常工作。

admin

如何对任意文本内的日志进行采集，并通过Syslog协议，自动实时的发送到远程的集中日志分析中心，便于集中式的日志存储和管理。

• Linux环境
• Windows环境
  

Linux环境下的配置

以下内容适用于在Linux环境下，对任意的文本日志内容进行读取，并实时发送到远程的Syslog服务器。

第一步：初始化日志采集环境

先确保系统中的/var/spool/rsyslog 目录已存在：

mkdir -v /var/spool/rsyslog
if [ "$(grep Ubuntu /etc/issue)" != "" ]; then
6 T# g3 b0 u4 i6 A8 X* g& F4 V9 _ chown -R syslog:adm /var/spool/rsyslog
( g7 `+ g8 z5 d5 {* zfi

" j5 [# q  C7 w, y3 |第二步：创建Apahce日志文件采集配置

新建Rsyslog的子配置文件，他通常在/etc/rsyslog.d下，需要/etc/rsyslog.conf去包含这个目录下的子配置文件：

vim /etc/rsyslog.d/file-biglog.conf
7 s6 {8 i& @4 E! V+ G4 i5 i
) g- |) V: Q4 I6 Y0 ^$ l% r9 |6 Z

复制以下内容到apache-biglog.conf，注意注释部分的修改：

$ModLoad imfile
$InputFilePollInterval 10
$PrivDropToGroup adm
: R  w% x  h  |; t1 U- o$WorkDirectory /var/spool/rsyslog

- \6 \+ T3 n4 d1 O1 C0 h## 文本日志文件路径，根据实际情况修改:
$InputFileName /var/log/message.txt
$InputFileTag APPNAME1
4 F0 f/ R( f' W$ D" \/ {" ^8 N# }* D$InputFileStateFile stat-APPNAME1 ##当有多个input时，该名称必需唯一
2 W0 f. {* H  p- I3 o; l3 n; a. U$InputFileSeverity info
$InputFilePersistStateInterval 25000
$InputRunFileMonitor
7 A0 |8 q5 M; i
## 定义日志格式模板：
$template BiglogFormatFile,”%msg%\n”
0 r, W6 U' I! m7 N: E' ]
9 u) l! ^- P0 \## 注意syslog日志服务器接收地址，根据实际情况修改：
/ S) x# s/ c1 P1 k" |- _& B: lif $programname == ‘APPNAME1′ then @10.x.x.x:514;BiglogFormatFile
if $programname == ‘APPNAME1′ then ~

注：通过Rsyslog配置日志接收端的时候，如上示例@10.x.x.x:514，用于指定接收日志的服务器的协议、IP地址和端口号。使用@代表走UDP协议，使用@@代表走TCP协议，冒号后面的514代表接收端口。

第三步：重启Rsyslog服务，日志采集开始工作service rsyslog restart

- V% K! @* E% N9 P7 ]( F  s

此时可以通过观察系统中的Rsyslog日志，确定是否正常工作。

cat /var/log/messages |grep rsyslog
0 x) [( f) F+ e* s7 K
# `0 u( m1 r& q2 {4 @/ g* Z

; B+ c' h1 R5 p! V7 F: j/ i6 e
, ?5 J7 ^$ W8 ^% N: w8 |