tech:log_syslog_rsyslog
Différences
Ci-dessous, les différences entre deux révisions de la page.
| Prochaine révision | Révision précédente | ||
| tech:log_syslog_rsyslog [2025/03/24 15:06] – créée - modification externe 127.0.0.1 | tech:log_syslog_rsyslog [2025/11/14 08:42] (Version actuelle) – Jean-Baptiste | ||
|---|---|---|---|
| Ligne 36: | Ligne 36: | ||
| Supprimer certaines classes de messages | Supprimer certaines classes de messages | ||
| - | < | + | < |
| *.=debug stop | *.=debug stop | ||
| *.=info stop | *.=info stop | ||
| Ligne 46: | Ligne 46: | ||
| Supprimer des messages | Supprimer des messages | ||
| voir https:// | voir https:// | ||
| - | < | + | < |
| # discards everything | # discards everything | ||
| #*.* ~ | #*.* ~ | ||
| Ligne 52: | Ligne 52: | ||
| </ | </ | ||
| - | <code c / | + | '' |
| + | <code -> | ||
| $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat | $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat | ||
| Ligne 59: | Ligne 60: | ||
| </ | </ | ||
| - | <code bash / | + | |
| + | '' | ||
| + | <code bash> | ||
| # Options for rsyslogd | # Options for rsyslogd | ||
| # -x disables DNS lookups for remote messages | # -x disables DNS lookups for remote messages | ||
| Ligne 66: | Ligne 69: | ||
| RSYSLOGD_OPTIONS=" | RSYSLOGD_OPTIONS=" | ||
| </ | </ | ||
| + | |||
| == Conf client / serveur | == Conf client / serveur | ||
| Ligne 72: | Ligne 76: | ||
| Il est possible d' | Il est possible d' | ||
| + | |||
| === Conf serveur | === Conf serveur | ||
| Ligne 79: | Ligne 84: | ||
| </ | </ | ||
| - | <code python | + | '' |
| + | <code python> | ||
| module(load=" | module(load=" | ||
| # | # | ||
| Ligne 100: | Ligne 106: | ||
| Pour changer le fichier de destination | Pour changer le fichier de destination | ||
| - | <code c / | + | |
| + | '' | ||
| + | <code -> | ||
| $template syslog,"/ | $template syslog,"/ | ||
| *.* ?syslog | *.* ?syslog | ||
| Ligne 107: | Ligne 115: | ||
| & stop | & stop | ||
| </ | </ | ||
| + | |||
| === Conf client | === Conf client | ||
| - | <code c / | + | '' |
| + | <code -> | ||
| $ActionQueueType LinkedList # Exécuter le traitement de façon asynchrone. | $ActionQueueType LinkedList # Exécuter le traitement de façon asynchrone. | ||
| $ActionQueueFileName srvrfwd1 # Préfixe de nom unique pour les fichiers spool. Active également le mode disque. | $ActionQueueFileName srvrfwd1 # Préfixe de nom unique pour les fichiers spool. Active également le mode disque. | ||
| Ligne 127: | Ligne 137: | ||
| logger -s "TEST plop" | logger -s "TEST plop" | ||
| </ | </ | ||
| + | |||
| == Les filtres | == Les filtres | ||
| Ligne 138: | Ligne 149: | ||
| * Property-based filters | * Property-based filters | ||
| * Expression-based filters | * Expression-based filters | ||
| + | |||
| === Facility/ | === Facility/ | ||
| Ligne 143: | Ligne 155: | ||
| === Property-based filters | === Property-based filters | ||
| - | < | + | < |
| :msg, contains, "123: Message for bucket 123" -/ | :msg, contains, "123: Message for bucket 123" -/ | ||
| </ | </ | ||
| - | <code c / | + | '' |
| + | <code -> | ||
| # Log kernel generated UFW log messages to file | # Log kernel generated UFW log messages to file | ||
| : | : | ||
| Ligne 193: | Ligne 206: | ||
| Utilisation du port UDP 514. Il suffit de dé-commenter ces lignes : | Utilisation du port UDP 514. Il suffit de dé-commenter ces lignes : | ||
| - | <code c / | + | |
| + | '' | ||
| + | <code -> | ||
| # UDP | # UDP | ||
| $ModLoad imudp | $ModLoad imudp | ||
| Ligne 214: | Ligne 229: | ||
| Sur les clients, à la fin du fichier de conf, nous précisons où envoyer les logs | Sur les clients, à la fin du fichier de conf, nous précisons où envoyer les logs | ||
| - | <code c / | + | |
| + | '' | ||
| + | <code -> | ||
| # UDP | # UDP | ||
| *.* @IP_Adress_ou_FQDN: | *.* @IP_Adress_ou_FQDN: | ||
| Ligne 224: | Ligne 241: | ||
| Après le bloc « **RULES** » dans le fichier de configuration du serveur : | Après le bloc « **RULES** » dans le fichier de configuration du serveur : | ||
| - | < | + | < |
| $template syslog,"/ | $template syslog,"/ | ||
| </ | </ | ||
| On va ensuite appliquer ce template à tous les logs entrants : | On va ensuite appliquer ce template à tous les logs entrants : | ||
| - | < | + | < |
| *.* ?syslog | *.* ?syslog | ||
| </ | </ | ||
| Ligne 237: | Ligne 254: | ||
| iptables -A INPUT -m state --state NEW -m udp -p udp --dport 514 -j ACCEPT | iptables -A INPUT -m state --state NEW -m udp -p udp --dport 514 -j ACCEPT | ||
| </ | </ | ||
| + | |||
| === Autres | === Autres | ||
| - | <code c / | + | '' |
| + | <code -> | ||
| $SystemLogSocketName / | $SystemLogSocketName / | ||
| </ | </ | ||
| - | <code c / | + | '' |
| + | <code -> | ||
| # | # | ||
| $OmitLocalLogging off | $OmitLocalLogging off | ||
| Ligne 259: | Ligne 279: | ||
| A tester | A tester | ||
| - | <code c / | + | '' |
| + | <code -> | ||
| if $msg contains ' | if $msg contains ' | ||
| Ligne 267: | Ligne 288: | ||
| } | } | ||
| </ | </ | ||
| + | |||
| + | |||
| == Exemple | == Exemple | ||
| - | < | + | < |
| $SystemLogRateLimitInterval 5 | $SystemLogRateLimitInterval 5 | ||
| $SystemLogRateLimitBurst 1200 | $SystemLogRateLimitBurst 1200 | ||
| Ligne 303: | Ligne 326: | ||
| == Docker et Rsyslog | == Docker et Rsyslog | ||
| + | |||
| <code yaml> | <code yaml> | ||
| docker-compose | docker-compose | ||
| Ligne 313: | Ligne 337: | ||
| rsyslog | rsyslog | ||
| - | < | + | |
| + | < | ||
| $Template CustomFormat," | $Template CustomFormat," | ||
| $ActionFileDefaultTemplate CustomFormat | $ActionFileDefaultTemplate CustomFormat | ||
| Ligne 338: | Ligne 363: | ||
| Remplacer '' | Remplacer '' | ||
| - | <code c / | + | '' |
| + | <code -> | ||
| # | # | ||
| $IMUXSockRateLimitBurst 2000 | $IMUXSockRateLimitBurst 2000 | ||
tech/log_syslog_rsyslog.1742825205.txt.gz · Dernière modification : de 127.0.0.1