linux 日志服务器简单用

利用LINUX 系统日志功能来充当LOG SERVER，/etc/syslog.conf是配置文件，里面定义了一些服务与日志路径， SSH下用vi /etc/sysconfig/syslog，打开看到内容如下：

 

# Options to syslogd
# -m 0 disables 'MARK' messages.
# -r enables logging from remote machines
# -x disables DNS lookups on messages recieved with -r
# See syslogd(8) for more details
SYSLOGD_OPTIONS="-m 0"
# Options to klogd
# -2 prints all kernel oops messages twice; once for klogd to decode, and
#    once for processing with 'ksymoops'
# -x disables all klogd processing of oops messages entirely
# See klogd(8) for more details
KLOGD_OPTIONS="-x"
#
SYSLOG_UMASK=077
# set this to a umask value to use for all log files as in umask(1).
# By default, all permissions are removed for "group" and "other".

 

SYSLOG_OPTIONS的参数默认是"-m 0"这样应该是只记录本机的日志，上面有一个参数-r(remote),添加成“-rm 0"之后为：

SYSLOGD_OPTIONS="-rm 0"

这是一个服务，你可以用/etc/init.d/syslog restart 重启，

你就可以把远程的网络设备什么的日志放到这个机器上了，只不过它放在/VAR/LOG/MESSAGES文件中，要想自定义其路径及文件需要修改/etc/syslog.conf文件，在文件尾添加

local0.*    /var/log/router.log

local0-local7  为用户可以自己定义使用 的、

 

  

我用思科的      NAV10-WF-ADVSEC的日志记录到远程机器的功能测试

 

一秒之后 CAT /VAR/LOG/MESSAGES文件。

将会看到一些有关思科的NAV的日志记录。

 

 

 

Nov 17 13:07:01 192.168.1.1 Router kernel: KERN_INFO [IPS] (eth0)(4094) Hit rule-name: P2P QQLive UDP attempt, source ip: 119.147.18.173 action: drop
Nov 17 13:07:40 192.168.1.1 last message repeated 3 times
Nov 17 13:08:45 192.168.1.1 last message repeated 6 times
Nov 17 13:09:04 192.168.1.1 last message repeated 2 times
Nov 17 13:09:11 192.168.1.1 Router kernel: KERN_INFO [IPS] (eth0)(4094) Hit rule-name: Possible DoS HGOD SynKiller Flooding, source ip: 61.191.191.151 action: drop, block/reset
Nov 17 13:09:13 192.168.1.1 Router kernel: KERN_INFO [IPS] (eth0)(4094) Hit rule-name: P2P QQLive UDP attempt, source ip: 119.147.18.173 action: drop
Nov 17 13:09:52 192.168.1.1 last message repeated 4 times
Nov 17 13:11:00 192.168.1.1 last message repeated 7 times
Nov 17 13:12:08 192.168.1.1 last message repeated 7 times

 

 

syslog 的远程日志要用到UDP 514端口号，如果你用IPTABLES ，那就打开这个端口
 

 

iptables -A INPUT -p udp -i  'yourethif '     -s  '设备的IP' -d     'linux主机'   --sport 514 -j ACCEPT
 

 

 

比较简单，别扔石头。。。。