配置日志服务器
syslog日志服务器配置步骤
4操作动作
日志信息可以分别记录到多个文件里，还可以发送到命名管道、其他程序甚至另一台机
器。syslog配置文件并不复杂，既容易阅读又容易操作使用。这个文件里的注释都非常有用，
应该好好读读它们。
建立一个中央日志服务器
个旧的key定义，等同于auth，已经不再建议使用。
2优先级
优先级是选择条件的第二个字段，它代表消息的紧急程度。对一个应用程序来说，它发
出的哪些消息属于哪一种优先级是由当初编写它的程序员决定的，应用程序的使用者只能接
受这样的安排一一除非打算重新编译系统应用程序。表2按严重程度由低到高的顺序列出了
所有可能的优先级。
3.生成消息的子系统的名字。 可以是”kernel
表示发出消息的程序的名字。在方括号里的是进程的
4.消息(message)，剩下的部分就是消息的内容。
syslog配置文件
syslog是Linux系统默认的日志守护进程。默认的syslog配置文件是/etc/syslog.conf文 件。syslog守护进程是可配置的，它允许人们为每一种类型的系统信息精确地指定一个存放 地点。现在，我们先看看syslog.conf文件的配置行格式(这个文件里的每一个配置行都是 同样的格式)，然后再看一个完整的syslog配置文件。syslog配置行的格式如下所示：
mail.*/var/log/mail这一行由两个部分组成。第一个部分是一个或多个 设备后面跟一些空格字符，然后是一个“操作动作”
1设备 设备本身分为两个字段，之间用一个小数点( 段是一个优先级。 设备其实是对消息类型的一种分类， 发送到不同的地方。在同一个 的syslog配置文件示例里看到同时有多个设备的配置行。 下面列出了绝大多数Linux操作系 统变体都可以识别的设备。
配置cisco交换机日志服务器
配置cisco交换机日志服务器配置Linux的Syslog服务来记录Cisco路由器的日志(基本配置）路由器的配置：interface Ethernet0/0ip address 192.168.1.2 255.255.255.0!logging 192.168.1.1logging facility local0 //配置日志存储的facility ，默认是local7，可以修改为其他，但推荐保存为local开头的facility里logging trap debugging //配置要发送到日志服务器的日志优先级，默认发送到日志服务器的优先级为InfoLinux服务器配置：1、在/var/log目录下新建Cisco.log文件2、在/etc/syslog.conf增加：3、在/etc/sysconfig/syslog文件修改：4、重启注意：Ubantu7.1的syslog文件为/etc/default/syslogdSyslog服务名为sysklogd,重启Syslog服务的命令为：service sysklogd restart附（转）：配置linux syslog日志服务器目前，linux依旧使用syslogd作为日志监控进程，而在主流的linux发行版中依旧使用sysklog 这个比较老的日志服务器套件。
一、配置文件默认的日志服务器就是sysklogd套件：主要的配置文件有两个：/etc/sysconfig/syslog 定义syslog服务启动时可加入的参数/etc/syslog.conf 这个是syslog服务的主要配置文件，根据定义的规则导向日志信息。
二、设置主配置文件/etc/syslog.conf根据如下的格式定义规则：facility.level action设备.优先级动作facility.level 字段也被称为seletor（选择条件），选择条件和动作之间用空格或tab分割开。
搭建rsyslog日志服务器
搭建rsyslog⽇志服务器环境配置centos7系统 client1：192.168.91.17centos7系统 master：192.168.91.18rsyslog客户端配置1、rsyslog安装yum install rsyslog2、启⽤UDP进⾏传输vim /etc/rsyslog.conf# Provides UDP syslog reception #若启⽤UDP进⾏传输，则取消下⾯两⾏的注释$ModLoad imudp$UDPServerRun 514# Provides TCP syslog reception #若启⽤TCP进⾏传输，则取消下⾯两⾏的注释#$ModLoad imtcp#$InputTCPServerRun 514*.* @192.168.28.149:514 #若启⽤TCP传输则使⽤@@，若是UDP则使⽤@3、重启rsyslog服务systemctl restart rsyslogrsyslog服务端配置1、启⽤UDP/TCP进⾏传输vim /etc/rsyslog.conf# Provides UDP syslog reception #若启⽤UDP进⾏传输，则取消下⾯两⾏的注释$ModLoad imudp$UDPServerRun 514# Provides TCP syslog reception #若启⽤TCP进⾏传输，则取消下⾯两⾏的注释#$ModLoad imtcp#$InputTCPServerRun 5142、重启rsyslog服务systemctl restart rsyslog测试服务是否能够将客户端的系统⽇志传回服务端1、在服务端不间断输出系统⽇志⽂件tailf /var/log/messages第⼆：在客户端使⽤logger⽣成测试⽇志信息（并查看服务器端输出，判断是否通过⽹络将⽇志收集到了）logger "rsyslog test"Rsyslog搭建中⼼⽇志服务器默认配置下，接收到的⽇志写⼊服务端对应的⽇志⽂件⾥，如：如果涉及到了secure⽇志的记录，就会写到服务器端的/var/log/secure⾥⾯，也就是客户端⾃⼰写⼀份然后再往服务器端写⼀份。
天融信日志服务器配置说明书
天融信日志服务器配置说明书Document number：NOCG-YUNOO-BUYTT-UU986-1986UT天融信日志服务器配置说明书（专用版）VER: 杭州市工商行政管理局网络安全二期项目工程文档--------日志服务器配置说明书北京天融信网络安全技术有限公司杭州分公司2004年12月天融信安全技术高品质的保证文档管理文档信息分发控制版本控制目录安装数据库服务器系统要求：操作系统：中英文windows 2000/2003 服务器版数据库系统：MS SQL Server 2000 + Service Pack 3 ( 不支持 MS SQL Server )最低配置：CPU ：PIII 内存：256M 硬盘：10G推荐配置：CPU：P4 内存：512M 硬盘 80G安装步骤：1. 插入SQL Server 2000 安装光盘：2. 选择<安装SQL Server 2000 组件>，开始安装数据库服务器，依照安装向导的提示，安装数据库服务器和客户端工具。
3. 在安装类型页面，用自定义方式，选择程序文件和数据文件的安装目的文件夹：【注意】选择自定义也方便了加速查询的排序次序的设置，强烈建议修改默认的排序方式为二进制。
另外，数据文件所在文件夹分区必须是NTFS 格式，如果是FAT32 格式的分区，文件的限制为4G，当超过4G 时，文件无法继续增长。
同时建议不要安装SQL数据文件与程序文件在系统盘，可单独安装数据文件到大的磁盘与系统盘分开。
4. 下一步，选择身份验证模式为<混合模式>，输入sa 登录密码，请管理员务必牢记：5. 在接下来的排序规则设置页面，本系统推荐“二进制”排序，这样可以提高查询速度：6. 设置工作完成后，安装程序开始复制文件。
7. SQL Server 安装完成。
8. 安装Microsoft SQL Server 2000 Service Pack 3。
syslog-ng配置日志服务器学习总结
背景：因为项目需要，现使用syslog-ng搭建一台日志服务器，简单来说就是利用我们现有的虚拟机中的syslog-ng服务，搭建一台用于专名存放其他虚拟机（也包括自己）所产生的日志。
由于一些用户以后将没有权限直接访问我们的ebackup 服务器，但又需要查看日志。
便可以用过这台日志服务器来查看。
日志服务器中的日志目录按照一定的规则设定，如“日期+主机名”等自行设定。
Syslog-ng介绍：规则，实现更好的过滤功能。
本次日志服务器的搭建是用的syslog-ng，关于syslog的具体描述可以参考下面的链接。
/subview/1614723/1614723.htm1、syslog-ng的配置说明syslog-ng的主配置文件存放在：/etc/syslog-ng/syslog-ng.conf中。
首先需要简单介绍一下syslog-ng的架构。
yslog-ng.conf中所有配置都是基于syslog-ng 的这样一种架构：LOG STATEMENTS『SOURCES － FILTERS －DESTINATIONS』即：消息路径『消息源－过滤器－目的站』也就是说，通过定义多个消息源，把匹配上若干个过滤器的消息导向到指定的目的地，从而组成一个消息路径。
（1）、消息源source格式为：source { sourcedriver params; sourcedriver params; ... };一个消息源的标识sourcedriver：消息源驱动器，可以支持若干参数，并使用分号“；”隔离多个消息源驱动器消息源有以下几种：file (filename) ：从指定的文件读取日志信息unix-dgram (filename) ：打开指定的SOCK_DGRAM模式的unix套接字，接收日志消息unix-stream (filename) ：打开指定的SOCK_STREAM模式的unix套接字，接收日志消息udp ( (ip),(port) ) ：在指定的UDP端口接收日志消息tcp ( (ip),(port) ) ：在指定的TCP端口接收日志消息sun-streams (filename) ：在solaris系统中，打开一个（多个）指定的STREAM设备，从其中读取日志消息internal() ： syslog-ng内部产生的消息pipe(filename),fifo(filename) ：从指定的管道或者FIFO设备，读取日志信息例如：source s_sys {file ("/proc/kmsg" log_prefix("kernel:"));unix-stream ("/dev/log");internal();); };参数需要使用括号括住。
Rsyslog本地日志和日志服务器配置
Rsyslog本地⽇志和⽇志服务器配置1. 安装或升级apt-get install -y rsyslog2. 配置⽂件/etc/rsyslog.conf3. ⽇志写⼊本地⽂件3.1 Rsyslog默认是将⽇志存储在本地⽂件，所以不需要修改配置⽂件3.2 测试3.2.1 开个shell执⾏命令tail -f /var/log/messages，关注是否有⽇志3.2.2 在另外⼀个shell中执⾏logger -p info "hello, rsyslog"3.2.3 可以在tail的shell中看到以下的输出，则说明已成功tail -f /var/log/messagesSep 11 16:31:05 debian root: hello, rsyslog4. ⽇志写⼊远程⽇志服务器4.1 客户端配置4.1.1 在配置⽂件最后⾯添加以下⾏*.* @@remote-log-server:5144.1.2 重启rsyslogservice rsyslog restart4.2 服务端配置4.2.1 编辑配置⽂件/etc/rsyslog.conf：取消TCP、UDP连接的注释，修改成如下# provides UDP syslog receptionmodule(load="imudp")input(type="imudp" port="514")# provides TCP syslog receptionmodule(load="imtcp")input(type="imtcp" port="514")4.2.2 重启rsyslogservice rsyslog restart4.3 测试4.3.1 server端开个shell执⾏命令tail -f /var/log/messages,关注是否有⽇志4.3.2 client端执⾏命令 logger -p info "hello, remote rsyslog"4.3.3 server端执⾏命令 logger -p info "hello, local rsyslog"4.3.4 可以看到如下输出，则说明已成功tail -f /var/log/messagesJan 5 10:58:20 localhost root: hello, remote rsyslogJan 5 10:58:25 localhost root: hello, local rsyslog。
设置 Syslog 日志服务器用来获取交换机日志
设置 Syslog 日志服务器用来获取交换机日志（Syslog 日志服务器用来获取交换机日志CISCO和H3C交换机的设置）注:配置日志服务器前先检查是否已安装了SYSLOG服务执行 ps -e |grep syslogd 查看进程是否存在没有安装 # apt-get install syslogd 安装,或下载用安装包H3C交换机的设置举例1. 组网需求将系统的日志信息发送到 linux 日志主机；日志主机的IP 地址为 1.2.0.1/16；信息级别高于等于 informational 的日志信息将会发送到日志主机上；日志信息的输出语言为英文，允许输出信息的模块为ARP 和 CMD。
2. 组网图3. 配置步骤(1) 设备上的配置。
# 开启信息中心。
<Sysname> system-view[Sysname] info-center enable# 指定向日志主机输出日志信息的通道为 loghost 通道。
[Sysname] info-center loghost 1.2.0.1 channel loghost# 关闭所有模块日志主机的 log、trap、debug 的状态。
[Sysname] info-center source default channel loghost debug state off log state off trap state off注意：由于系统对各通道允许输出的系统信息的缺省情况不一样，所以配置前必须将所有模块的需求通道（本例为loghost ）上log、trap、debug 状态设为关闭，再根据当前的需求配置输出相应的系统信息。
可以用display channel 命令查看通道的状态。
# 将 IP 地址为 1.2.0.1/16 的主机作为日志主机，设置信息级别为informational，输出语言为英文，允许输出信息的模块为所有模块。
[Sysname] info-center loghost 1.2.0.1 facility local7 language english [Sysname] info-center source default channel loghost log level informational 2) 日志主机上的配置。
天融信日志服务器配置说明书
天融信日志服务器配置说明书标准化管理部编码-[99968T-6889628-J68568-1689N]天融信日志服务器配置说明书（Topsec_Auditor_Server_2.0专用版）VER: 2.0杭州市工商行政管理局网络安全二期项目工程文档--------日志服务器配置说明书北京天融信网络安全技术有限公司杭州分公司2004年12月天融信安全技术高品质的保证文档管理目录安装数据库服务器系统要求：操作系统：中英文windows 2000/2003 服务器版数据库系统：MS SQL Server 2000 + Service Pack 3 ( 不支持 MS SQL Server 7.0 ) 最低配置：CPU ：PIII 内存：256M 硬盘：10G推荐配置：CPU：P4 2.4G 内存：512M 硬盘80G安装步骤：1. 插入SQL Server 2000 安装光盘：2. 选择<安装SQL Server 2000 组件>，开始安装数据库服务器，依照安装向导的提示，安装数据库服务器和客户端工具。
3. 在安装类型页面，用自定义方式，选择程序文件和数据文件的安装目的文件夹：【注意】选择自定义也方便了加速查询的排序次序的设置，强烈建议修改默认的排序方式为二进制。
另外，数据文件所在文件夹分区必须是NTFS 格式，如果是FAT32 格式的分区，文件的限制为4G，当超过4G 时，文件无法继续增长。
同时建议不要安装SQL数据文件与程序文件在系统盘，可单独安装数据文件到大的磁盘与系统盘分开。
4. 下一步，选择身份验证模式为<混合模式>，输入sa 登录密码，请管理员务必牢记：5. 在接下来的排序规则设置页面，本系统推荐“二进制”排序，这样可以提高查询速度：6. 设置工作完成后，安装程序开始复制文件。
7. SQL Server 安装完成。
8. 安装Microsoft SQL Server 2000 Service Pack 3。
如何建立日志服务器
如何建立日志服务器要建立一个日志服务器，您需要考虑以下几个步骤：1.确定需求和目标：首先，确定您建立日志服务器的需求和目标。
您需要思考的问题包括：为何需要建立日志服务器？要记录什么类型的日志？日志数据的大小和持续时间预计为多少？谁将使用这些日志数据以及他们的需求是什么？等等。
2.选择合适的日志管理工具：根据您的需求，选择适合的日志管理工具。
一些常见的日志管理工具包括ELK（Elasticsearch、Logstash和Kibana）、Splunk、Graylog等。
这些工具提供了强大的、分析和可视化功能，可以帮助您更好地管理和利用日志数据。
3.选择合适的硬件和操作系统：为日志服务器选择合适的硬件和操作系统。
考虑要记录的日志数据量以及预计的流量，并确保您的硬件能够满足这些要求。
此外，选择您熟悉和喜欢的操作系统，例如Linux、Windows Server等。
4.安装和配置日志管理工具：根据您选择的日志管理工具的文档和指南，安装和配置它们。
这可能涉及到安装和配置数据库、引擎、收集代理等组件。
确保您的日志管理工具能够正确地连接到您的日志源，并能够按需记录和存储日志数据。
5.定义日志格式和字段：根据您的需求，定义适合的日志格式和字段。
这将有助于日志管理工具更好地索引和日志数据。
常见的日志格式包括CSV、JSON、Syslog等。
您可以根据需要定义自定义字段，以便更好地跟踪和分析特定的日志信息。
6.配置日志源和收集代理：根据您的需求，配置日志源和收集代理。
这可能包括为应用程序、服务器、网络设备等配置日志输出，并确保日志数据能够顺利传输到您的日志服务器。
您可以使用各种方法，如日志文件监视、Syslog、API调用等来收集日志数据。
7.设置自动化和告警：根据您的需求，设置自动化和告警机制。
例如，您可以配置自动化脚本来定期备份和归档日志数据。
您还可以设置告警规则，以便在发生重要事件或问题时及时接收通知。
8.监控和维护：定期监控和维护您的日志服务器。
日志服务器搭建
日志服务器搭建实战一、准备阶段1、硬件准备需要一台日志服务器，windows平台，建议采用windows 2003 操作系统。
确定其他需要记录日志的设备，包括windows平台服务器、linux服务器、小型机、路由设备以及交换设备等。
2、软件设备服务器端软件：3Csyslog日志记录软件。
Windows客户端软件：evtsys客户端软件，提供windows 下的syslog系统服务。
二、部署阶段1、服务器端在服务器端安装3Csyslog软件。
打开3Csyslog软件，点击File——Configure，弹出如下页面选择Log File Destnations选项，设置日志文件保存路径。
3、客户端1)windows客户端在需要记录日志的windows服务器上，运行evtsys软件，方法如下，将evtsys目录内的两个文件拷贝到c:/windows/system32目录下，运行evtsys.exe文件。
打开开始——运行，输入cmd，弹出的对话框内，输入evtsys –i –h 192.168.1.2类似的ip地址，指定服务器ip地址。
然后，输入service evtsys start 启动日志服务。
2)交换机设备对于交换机，只需要修改他的syslog保存地址，指定保存到日志服务器即可，用vi编辑器编辑syslog.conf 文件，指定远程地址即可。
3)防火墙设备对于类unix系统，均可采用启动syslog服务，修改syslog配置文件，指定远程日志服务器的方式达到相同效果。
三、系统运行点击开始——程序里的3Csyslog程序，即可查看当前活动的日志情况。
如下图：syslog文件，如下图：打开syslog文件，即可查看记录的日志信息，如下图：。
日志服务器搭建
日志服务器搭建搭建日志服务器的步骤：⒈确定需求⑴分析项目需求和数据规模⑵确定日志存储周期和数据保留策略⒉选择合适的日志服务器软件⑴根据需求选择合适的日志服务器软件⑵进行软件评估和比较⒊硬件需求⑴确定服务器硬件要求（如CPU、内存、存储等）⑵确定网络需求（如带宽、网络拓扑等）⒋安装操作系统⑴安装服务器操作系统⑵配置网络设置⒌安装日志服务器软件⑴并解压日志服务器软件包⑵配置日志服务器软件参数⑶启动日志服务器⒍配置日志收集⑴配置客户端日志⑵配置日志收集规则⑶测试日志收集⒎数据存储和备份⑴确定日志数据存储方式（例如数据库、文件系统）⑵配置数据备份策略⑶定期检查数据完整性和备份恢复能力⒏日志查询和分析⑴学习日志查询和分析技巧⑵配置日志查询和分析工具⑶分析日志数据⒐安全性和权限控制⑴设定访问权限⑵配置防火墙和安全加固⑶定期更新和升级日志服务器软件⒑监控和性能优化⑴配置监控工具和告警系统⑵定期检查服务器性能和日志服务器负载状况⑶进行性能优化和调整1⒈安全注意事项和最佳实践1⑴保护服务器，加强登录认证和访问控制1⑵定期更新系统和软件，修补安全漏洞1⑶加密和保护敏感数据1⒉维护和故障处理1⑴制定日志服务器维护计划1⑵备份和恢复日志服务器配置1⑶处理日志服务器故障和问题附件：附件一：日志服务器搭建配置参数表附件二：日志收集规则示例法律名词及注释：⒈涉及的法律名词及注释1⒉涉及的法律名词及注释2⒊涉及的法律名词及注释3。
搭建日志服务器（华为ensp交换机+虚拟机RedHat6）
ip address 192.168.126.100 255.255.255.0
2.开启日志信息功能并配置相关参数
info-center eefault channel 4 log level informationalinfo-center loghost source GigabitEthernet0/0/0
搭建日志服务器(华为ensp交换机+虚拟机redhat6) 搭建日志服务器(华为ensp交换机+虚拟机redhat6) 一,网络拓扑如下 1.ensp中的网络拓扑 2.cloud1配置 3.虚拟机安装redhat6,网卡信息如下 4.虚拟机网络连接模式如下 5.电脑本机vmnet8网卡配置 二,华为交换机配置 1.配置接口地址 interface gigabitethernet0/0/0 ip address 192.168.126.100 255.255.255.0 2.开启日志信息功能并配置相关参数 info-center enable info-center source default channel 4 log level informational info-center loghost source gigabitethernet0/0/0 info-center loghost 192.168.126.10 facility local6 三,redhat6虚拟机系统参数配置 1.修改/etc/rsyslog.conf两个地方 第一个地方如下图: 第二个地方如下图: 2.修改/etc/sysconfig/rsyslog文件,如下图: 3.重启日志记录器rsyslog服务
搭建日志服务器（华为ensp交换机+虚拟机RedHat6）
天融信日志服务器配置说明书
天融信日志服务器配置说明书（Topsec_Auditor_Server_2.0专用版）VER: 2.0杭州市工商行政管理局网络安全二期项目工程文档--------日志服务器配置说明书北京天融信网络安全技术有限公司杭州分公司2004年12月天融信安全技术高品质的保证文档管理文档信息文档名称杭州市工商局网络安全二期项目工程文档保密级别内部文档文档版本编号V1.0制作人杭州天融信公司制作日期2004-12-04 复审人复审日期适用范围本文档为杭州市工商局网络安全实施文档，提交给杭州市工商局网络安全项目组相关人员审阅、备案。
分发控制编号读者文档权限与文档的主要关系1 杭州天融信项目组创建、修改、读取文档制作者2 杭州市工商局审阅直接客户3 杭州市万事达公司审阅网络安全项目集成商版本控制时间版本说明修改人2004-12-04 V0.9 文档创建王余2004-12-06 V1.0 文档修订王余目录安装数据库服务器 (3)安装并配置审计服务器 (6)安装并配置审计管理器 (11)配置防火墙日志权限 (17)安装数据库服务器系统要求：操作系统：中英文windows 2000/2003 服务器版数据库系统：MS SQL Server 2000 + Service Pack 3 ( 不支持 MS SQL Server 7.0 ) 最低配置：CPU ：PIII 内存：256M 硬盘：10G推荐配置：CPU：P4 2.4G 内存：512M 硬盘 80G安装步骤：1. 插入SQL Server 2000 安装光盘：2. 选择<安装SQL Server 2000 组件>，开始安装数据库服务器，依照安装向导的提示，安装数据库服务器和客户端工具。
3. 在安装类型页面，用自定义方式，选择程序文件和数据文件的安装目的文件夹：【注意】选择自定义也方便了加速查询的排序次序的设置，强烈建议修改默认的排序方式为二进制。
另外，数据文件所在文件夹分区必须是NTFS 格式，如果是FAT32 格式的分区，文件的限制为4G，当超过4G 时，文件无法继续增长。
freebsd-syslog配置日志服务器
freebsd-syslog配置日志服务器FreeBSD Syslog配置日志服务器日志服务器对于系统管理和故障排除来说至关重要。
通过配置FreeBSD服务器的Syslog服务，您可以集中存储和管理所有系统和应用程序的日志信息。
本文将引导您配置FreeBSD服务器作为日志服务器的步骤，并确保其良好的可读性和安全性。
1. 安装Syslog守护程序Syslog守护程序是一种能够接收、存储和转发系统日志信息的服务。
在FreeBSD上，我们可以使用syslog-ng或rsyslog等工具来实现这一功能。
在本例中，我们将使用rsyslog作为示例。
在终端中执行以下命令，安装并启动rsyslog服务：```$ pkg install rsyslog$ sysrc rsyslogd_enable="YES"$ service rsyslog start```2. 配置rsyslog接下来，我们需要配置rsyslog以充分满足我们的要求。
编辑rsyslog的配置文件`/usr/local/etc/rsyslog.conf`，并根据您的需求进行相应的更改。
a. 定义默认模板在配置文件的顶部，我们将定义默认的模板，以便日志消息以可读的格式呈现：```$templatePerHostLog,"/var/log/%HOSTNAME%/%$YEAR%/%$MONTH%/%$DA Y%.log"$template RemoteHostLog,"/var/log/remote/%FROMHOST-IP%/%$YEAR%/%$MONTH%/%$DAY%.log"$ActionFileDefaultTemplate PerHostLog$ActionFileDefaultTemplate RemoteHostLog```以上代码将日志消息按照主机名和日期存储在相应的目录中。
LINUX日志服务器配置和H3C交换机上传日志配置
LINUX日志服务器配置和H3C交换机上传日志配置LINUX日志服务器配置系统用的是CentODS 6.5，网段 192.168.1.0/24 网关 192.168.1.254输入ifconfig查看网卡（基本只有eth0）输入vim /etc/sysconfig/network-scripts/ifcfg-eth0配置IP地址ONBOOT=yesBOOTPROTO=staticIPADDR0=192.168.1.100NETMASK0=255.255.255.0GATEWAY=192.168.1.254ip配置好以后输入vim /etc/rsyslog.conf (可以用rpm -qa|grep rsyslog 检查是否已安装，默认有)编辑日志服务器的配置文件$ModLoad imudp$UDPServerRun 514$ModLoad imtcp$InputTCPServerRun 514把这4条的#去掉即可，也可TCP、UDP选其一开启重启rsyslog服务service rsyslog restart配置防火墙1、简单粗暴关闭防火墙service iptables stop2、配置防火墙规则iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 514 -j ACCEPT iptables -A INPUT -s 192.168.1.0/24 -p udp --dport 514 -j ACCEPTiptables -A INPUT -m state --state INVALID -j DROPiptables -A OUTPUT -m state --state INVALID -j DROPiptables -A FORWARD -m state --state INVALID -j DROP保存、重启防火墙service iptables saveservice iptables restartH3C交换机上传日志配置<h3c>system-view配置IP[H3C]interface Vlan-interface 1[H3C-Vlan-interface1]ip address 192.168.1.101 255.255.255.0[H3C-Vlan-interface1]exit配置日志上传到外部服务器[H3C]info-center enable[H3C]info-center source default loghost level debugging[H3C]info-center loghost 192.168.200.100 facility local0(建议确定交换机的时间)开启ssh管理[H3C]ssh server enable（可以用[H3C]display ssh server status 查看是否开启）创建ssh用并赋予权限生成密钥[H3C]public-key local create rsa[H3C]public-key local create dsa设置用户接口上的认证模式为AAA，并让用户接口支持SSH协议[H3C]user-interface vty 0 4[H3C-ui-vty0-4]authentication-mode scheme[H3C-ui-vty0-4]protocol inbound ssh创建用户[H3C]local-user admin[H3C-luser-manage-admin]password simple 123456定义登录协议[H3C-luser-manage-admin]service-type ssh配置SSH用户client001的服务类型为Stelnet，认证方式为password认证（可不配置）[H3C]ssh user admin service-type stelnet authentication-type password保存<H3C>save。
freebsd-syslog配置日志服务器
在比较大规模的网络应用或者对安全有一定要求的应用中，通常需要对系统的日志进行记录分类并审核，默认情况下，每个系统会在本地硬盘上记录自己的日志，这样虽然也能有日志记录，但是有很多缺点：首先是管理不便，当服务器数量比较多的时候，登陆每台服务器去管理分析日志会十分不便，其次是安全问题，一旦有入侵者登陆系统，他可以轻松的删除所有日志，系统安全分析人员不能得到任何入侵信息。
因此，在网络中安排一台专用的日志服务器来记录系统日志是一个比较理想的方案。
本文以FreeBSD下的syslog为例，介绍如何利用freebsd的syslogd来记录来自UNIX和windows的log信息。
一，记录UNIX类主机的log信息：首先需要对Freebsd的syslog进行配置，使它允许接收来自其他服务器的log信息。
在/etc/rc.conf中加入：syslogd_flags="-4 -a 0/0:*"说明：freebsd的syslogd参数设置放在/etc/rc.conf文件的syslogd_flags变量中Freebsd对syslogd的默认设置参数是syslogd_flags="-s"，（可以在/etc/defaults/rc.conf中看到）默认的参数-s表示打开UDP端口监听，但是只监听本机的UDP端口，拒绝接收来自其他主机的log信息。
如果是两个ss,即-ss，表示不打开任何UDP端口，只在本机用/dev/log设备来记录log.修改后的参数说明：-4 只监听IPv4端口，如果你的网络是IPv6协议，可以换成-6-a 0/0:* 接受来自所有网段所有端口发送过来的log信息。
如果只希望syslogd接收来自某特定网段的log信息可以这样写：-a 192.168.1.0/24:*-a 192.168.1.0/24:514或者-a 192.168.1.0/24表示仅接收来自该网段514端口的log信息，这也是freebsd的syslogd进程默认设置，也就是说freebsd 在接收来自其他主机的log信息的时候会判断对方发送信息的端口，如果对方不是用514端口发送的信息，那么freebsd的syslogd会拒绝接收信息。
日志服务器搭建范文
日志服务器搭建范文步骤一：选择操作系统首先，我们需要选择适合作为日志服务器的操作系统。
常用的选择包括Linux、Windows和FreeBSD等。
在选择操作系统时，需要考虑到操作系统的稳定性、安全性和易用性等因素。
步骤二：安装日志服务器软件一旦选择了适合的操作系统，我们就可以开始安装日志服务器软件了。
常用的日志服务器软件包括ELK Stack（Elasticsearch、Logstash和Kibana）和Graylog等。
这些软件提供了强大的日志收集、存储和分析功能。
以安装ELK Stack为例，我们可以按照以下步骤进行安装：1. 安装Elasticsearch：2. 安装Logstash：3. 安装Kibana：步骤三：配置日志收集例如，我们可以使用Filebeat插件来监视应用程序日志文件的变化，并将其发送到Logstash进行处理。
我们可以在Logstash的配置文件中指定Filebeat的监听地址和端口，以便接收来自Filebeat的日志数据。
步骤四：配置日志存储和索引一旦收集到日志数据，我们需要将其存储到Elasticsearch中进行索引和。
为了实现这一点，我们可以在Logstash的配置文件中指定Elasticsearch的连接信息。
在配置完成后，Logstash将会将收集到的日志数据发送到Elasticsearch中，并根据我们的配置在Elasticsearch中创建相应的索引。
这样，我们就可以通过Kibana来、过滤和可视化这些索引。
步骤五：测试和维护在配置完成后，我们应该对日志服务器进行测试，以确保其正常工作。
我们可以通过发送一些测试日志消息，然后使用Kibana来和可视化这些消息，以验证日志服务器正常运行。
另外，我们还应该建立日志服务器的定期维护计划，包括定期备份日志数据、监控服务器性能和更新软件版本等。
这样可以确保日志服务器的稳定性和安全性，并及时发现和解决潜在的问题。
总结：搭建一个日志服务器可能需要一些时间和精力，但是它能够为我们提供强大的日志管理和分析功能。
华为日志服务器配置
华为日志服务器配置日志服务器的基本配置方式：使用华为日志服务器可以接收防火墙产生的文本日志（syslog 日志）和二进制日志（aspf 和nat 日志），使用日志服务器时：假设内部网络为10.1.1.0/24 在防火墙上启用日志服务器的配置方式如下[Eudemon]acl number 2000\\ 定义防火墙acl以过滤需要的日志[Eudemon-acl-basic-2000]rule 0 permit source 10.1.1.1 0.0.0.255[Eudemon]firewall log stream enable\\启用流日志功能，该选项直接与实时流量相关[Eudemon]info-center log[Eudemon]info-center loghost ? \\该功能开启syslog日志功能X.X.X.X Logging host ip addresssource Set the source address of packets sent to loghosttype Set loghost OS type (default Windows)[Eudemon]info-center loghost 10.1.1.1[Eudemon-interzone-trust-untrust]session log enable acl-number 2000 inbound[Eudemon-interzone-trust-untrust]session log enable acl-number 2000 outbound[Eudemon] firewall session log-type binary host 10.1.1.1 9002pc端日志服务器安装只要运行setup程序即可，开始提示创建数据库时点取消。
进入程序创建数据库。
其中要注意的是：Database 一项要浏览到你需要放置文件的地方，并给予一个数据库文件名字创建。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
huwei S3026配置(VRP (tm) Software, Version 3.10)
logging on
set logging host 133.3.3.2 channel 2 language chinese facility local1
Cisco 7505的配置
#Save S8016 messages all to S8016.log
local5.* /var/log/S8016.log
生成空的日志文件
touch /var/log/router.log
touch /var/log/S8016.log
然后重启syslog,就ok了
增加下列内容
# system-specific logs may be also be configured here.
/var/log/router.log (
rotate 2
}
/var/log/S8016.log {
weekly //每周轮循
网络设备配置
PIX的配置
logging on //打开日志
logging host [if_name] ip_address [protocol/port] //指定日志主机
例:logging host log 133.3.3.2
logging trap level //指定日志消息的级别 (0:紧急(Emergencies) 1:告警(Alerts) 2:严重的(Critical) 3:错误(Errors) 4:警告(Warnings) 5:通知(Notifications) 6:信息(Informational) 7:调试(Debugging))
logging 133.3.3.2
logging on
logging trap 6
logging facility local0
/etc/rc.d/init.d/syslog restart
别忘了设置防火墙规则,仅允许你的设备发送到udp/514(默认的UDP端口为514,默认的tcp端口为146
为了避免日志过大,配置日志轮循(man logrotate 查看详细的帮助信息)
vi /etc/logrotate.conf
加入下列内容
把设备号为local4(PIX的默认设备号)的所有的日志记录到 /var/log/router.log中
#Save pix messages all to router.log
local4.* /var/log/router.log
把设备号为local5(在S8016中用info-center loghost host-ip-addr facility local-number指定)的所有的日志记录到 /var/log/router.log中
vi /etc/sysconfig/syslog
把
SYSLOGD_OPTIONS="-m 0"
修改为
SYSLOGD_OPTIONS="-r -m 0" //-r 从远端主机写入 -m 0 sables 'MARK' messages
vi /etc/syslog.conf
Huawei S8016 新命令行设置日志服务器
info-center enable //打开信息中心
inf-center loghost host-ip-addr channel 2 facility local-number
设置日志主机的IP地址
info-center logging host host-ip-addr
rotate 4 //轮循4次
}
配置crontab进行日志备份,如按照日期进行备份.
如网络设备很多,可把同类的设备配置为相同的设备号
例:more switch.log grep X.X.X.X //查看某一设备的日志
审核和记录系统的事件是非常重要的。如果仅仅把系统事件作为日志记录下来，而不去查看，还是无济于事。可用webadmin管理和查看日志,用logchek 自动地检查日志文件，把正常的日志信息剔除掉，把一些有问题的日志保留下来，然后把这些信息 email 给系统管理员。（稍后补充）
logging trap 7 //把调试信息设置为Debug级,记录FTP命令和WWW的URL
另外可用logging facility命令更改设备号,PIX默认为local4(20)
Huawei S8016的配置( VRP(R) Software, Version 3.10(NSSA), RELEASE 5331)
设置日志主机的信息通道
info-center host host-ip-addr channel
设置日志主机记录工具
set logging host host-ip-addr facility local-number
取消向日志主机输出信息
undo info-cente