日志服务器搭建

目录
1, 系统要求 (ii)
2, 需要的源码包软件 (ii)
3, rsyslog安装配置 (ii)
3.1，修改apache配置 (ii)
3.2，修改mysql配置 (ii)
3.3，rsyslog安装 (iii)
3.4，rsyslog配置 (iii)
3.5，数据库导入及测试 .................................................................... i v 4，安装loganalyzer并修改 (v)
5，客户端设置 (v)
5.1，windows客户端设置 (v)
5.2，linux客户端配置....................................................................... v i
5.3，网络设备设置 (vii)
1, 系统要求
Lamp(httpd-2.2.21, mysql-5.1.44, php-5.3.8)
2, 需要的源码包软件
Rsyslog-5.9.5.tar.gz
Loganalyzer-3.5.0.tar.gz
3, rsyslog安装配置
3.1，修改apache配置
Vim /nybackup/syslog/server/apache/conf/httpd.conf
AddDefaultCharset off #关掉默认字符设置
3.2，修改mysql配置
Vim /etc/f
在[client][mysqld][mysql]三个字段中添加
Default-character-set = latin1 #将字符集改为latin1
Mysql -u root -p
Set names utf8
Grant insert on Syslog.* to write_user@localhost identified by 'writesyslog'; #增加一个只写的账号，用于rsyslog往mysql里面写日志
Grant all on Syslog.* to read_user@localhost identified by 'readsyslog'; #增加一个用于loganalyzer读取操作数据库的用户3.3，rsyslog安装
cd /nybackup/syslog/server/
Tar zxvf /nybackup/syslog/install/rsyslog-5.9.5.tar.gz
Cd rsyslog-5.9.5
./configure --prefix=/nybackup/syslog/server/rsyslog --enable-mysql
Make&&make install
Service syslog stop #关闭自带syslog
Chkconfig syslog off
3.4，rsyslog配置
Cp /etc/init.d/{syslog,rsyslog} #由于rsyslog没有启动脚本，所以修改syslog启动脚本并修改
Sed -i 's/syslog/rsyslog/g' /etc/init.d/rsyslog
Chmod 700 /etc/init.d/rsyslog
Chkconfig --add rsyslog
Chkconfig rsyslog on
Ln -sv /nybackup/syslog/server/rsyslog/sbin/rsyslogd /sbin/rsyslogd #创建服务链接
Vim /etc/rsyslog.conf
$ModLoad ommysql #加载模块,添加此句
$ModLoad imudp.so #取消两句注释，监听UDP的514端口
$MDPserverRun 514
$template dbFormat,"insert into SystemEvents (Message, Facility,FromHost, Priority, DeviceReportedTime, ReceivedAt, InfoUnitID, SysLogTag) values ('%msg%', %syslogfacility%, '%fromhost-ip%',%syslogpriority%,
'%timereported:::date-mysql%','%timegenerated:::date-mysql%', %iut%, '%syslogtag%')",sql #自定义数据模板dbFormat
*.* :ommysql:localhost,Syslog,write_user,write_syslog;dbFormat #传送数据到mysql数据库
Service rsyslog restart #启动rsyslog服务
3.5，数据库导入及测试
Cd /nybackup/syslog/server/rsyslog-5.9.5
Mysql -u root -p < ./plugins/ommysql/creatDB.sql # 导入数据库
Mysql -u root -p #进入mysql
Use Syslog;
Select * from SystemEvents; #查看是否有数据
4，安装loganalyzer并修改
Cd /nybackup/syslog/server/
Tar zxvf ../install/loganalyzer-3.5.0.tar.gz
Cd loganalyzer-3.5.0
Cp -r src/* /nybackup/syslog/server/apache/htdocs/ #复制loganalyzer文件到apache默认目录
Cp -r contrib/* /nybackup/syslog/server/apache/htdocs
Cd /nybackup/syslog/server/apache/htdocs
Bash ./configure.sh #生成config.php文件
Bash ./secure.sh
Chmod 666 config.php #修改config.php权限
重启apache服务service apache restart
浏览http://172.16.20.3进入界面
5，客户端设置
5.1，windows客户端设置
安装软件evtsys此软件分为32位和64位:
Evtsys_4.4.3_32-bit.zip
Evtsys_4.4.3_64-bit.zip
安装之前先进行windows时间同步设置
本地时间服务器地址：172.16.30.10
解压evtsys.rar
复制evtsys.exe和evtsys.dll到c:\windows\system32\下
cmd进入dos
Evtsys -i -h 172.16.20.3 #安装evtsys日志转发
Net start evtsys #启动evtsys服务
5.2，linux客户端配置
步骤一：ntp时间同步
先进行时间同步ntpdate -u 172.16.30.10
把时间同步写入日计划任务
Vim /etc/crontab
30 4 * * * /usr/sbin/ntpdate -u 172.16.30.10;/sbin/hwclock -w
重启计划任务服务
Service crond restart
步骤二：客户端日志配置
Vim /etc/syslog.conf
*.* @172.16.20.3 #添加此句，把本机所有各等级日志转发到172.16.20.3
重启日志服务
Service syslog restart
5.3，网络设备设置
1.在配置模式下，定义日志记录时间戳
(config)#service timestamps log datetime msec
2.在配置模式下，指定日志服务器
(config)#logging 172.16.20.3
附录：本例中日志服务器地址172.16.20.3本次操作所涉及到的源码包和安装程序，均存于ftp服务器/nybackup/backup/rsyslog 中。

注意：开启windows下面的安全本地安全策略里面的审核策略，否则服务器默认不记录日志。