Rsyslog+LogAnalyzer+MySQL日志服务器部署实操

        先提三个概念：《信息安全等级保护管理办法》、信息系统安全等级、信息系统安全等级保护测评。前两个是国家对于信息系统安全的描述与相关规定，后一个则是应对前两个概念的一种行为，特别是在一些机关、事业单位的信息中心里，它都会是每年的一项重点工作。在我们这2018年度的监测报告中，就出现了这么一条“Linux操作系统无法对日志记录进行分析并生成报表”结果，也就有了通过Rsyslog+LogAnalyzer+MySQL部署日志服务器这么一项工作（所以这篇文章主要是写给体制内的非资深技术人员）。

        本文以David_Tang大神的“CentOS 6.5下利用Rsyslog+LogAnalyzer+MySQL部署日志服务器”这篇攻略作为基础，重点分享下我在阿里云服务器上进行部署遇到的一些问题，希望对大家有所帮助。

1.磁盘挂载

        从阿里云上申请的云主机一般是“系统盘+存储盘”这么一种情况。而使用rsyslog收集的日志默认存储在var/log这个目录下面，即默认是存储在系统盘中的（系统盘一般不大），这就很有可能出现一段时间后系统盘写满，而存储盘却仍未开始使用的情况。这里提供的解决方案是：

    a）挂载磁盘并新建目录

        因为实际申请的云主机上除系统盘外另有两块存储盘，所以我使用LVM将两块存储盘共同挂载到同一目录之下，可以参考“linux磁盘管理系列三：LVM的使用”这篇攻略。另外需要注意的是，使用这个方法进行挂载后，如果重启电脑会出现取消挂载的情况，可以通过编辑/etc/fstab在行末补充/dev/vg_test_log/lv_test_log /log ext4 defaults 0 0设置开机默认挂载。

    b）修改日志存储地址

        打开rsyslog.conf找到*.info;mail.none;authpriv.none;cron.none                /var/log/messages  修改目录。

2.浏览器监听

        考虑到云主机的安全问题，特别是互联网域的，可以选择申请开通一个不常用的端口，打开/etc/httpd/conf/httpd.conf对appache的端口进行修改（一般默认80），在远程输入【IP地址：端口号】测试一下能否打开。

3.图形界面无法启动

        如果是直接在云主机上安装图形化界面，会遇到“阿里云服务器ECS Linux服务器messagebus默认关闭导致安装桌面环境后无法正常使用”这个问题（链接中自带解决方案）。

4.默认启动syslog

        因为有的客户端默认启动的是syslog，导致rsyslog无法启动，这时需要关闭syslog服务，并且设置其开机不启动。

          service syslog stop

          chkconfig syslog off

5.开放UDP端口

        阿里云上主机的端口是需要申请开放的，而rsyslog默认使用514的UDP端口传送日志（当然也可以修改）。

6.windows主机

        windows主机也可以作为rsyslog的客户端，但是需要额外安装软件。

7.WINSCP

        如果配置的主机不在互联网域，会出现LogAnalyzer无法下载的情况，可以使用WINSCP把文件传上去再操作，当然也可以通过这个方法把配置文件down下来查看。

8.网卡启动不成功

        重启后如果出现连不上、没IP地址的情况，很可能是出现了“LINUX下面NetworkManager和network冲突的问题”的问题（链接中自带解决方案）

9.测试

      可以利用logger "test"的指令进行测试，如果前面都配置的没问题就再检查下防火墙和selinux的配置。