Centos6.7mini搭建rsyslog+loganalyzer（未完待續(xù)）

rsyslog是linux自帶的日志軟件，也可以收集本機和其他設備的syslog日志；

loganalyzer是一個日志查看系統(tǒng)，基于lamp平臺。

但是我安裝完后查看時，日志內(nèi)容刷新反映很慢，不知到是什么原因。

環(huán)境

rsyslog+loganalyzer服務器:CentOS6.7mini   IP地址：10.1.1.199

設備：防火墻             10.3.2.1/10.1.1.1

    交換機            192.168.2.2/192.168.0.2

服務器 windows2008r2     ip地址：10.1.1.200

注意：我這里CentOS已經(jīng)關閉了iptable和selinux。

service iptable stop    ##關閉防火墻

chkconfig iptable off    ##設置開機不啟動防火墻

setenforce 0          ##可以臨時關閉，但重啟之后還是會變成原來的狀態(tài)。

     ##修改/etc/sysconfig/selinux文件可以永久地禁用它。

一、安裝lamp

• # yum –y install httpd php* sql*

• # service httpd start

• # chkconfig httpd on

• # service mysqld start

• # chkconfig mysqld on

• # mysqladmin  –uroot  password ‘a(chǎn)bc123’

• # cd /var/www/html/

• # cat > index.php <<EOF 

• > <?php    

• > phpinfo()    

• > ?>    

• > EOF

打開瀏覽器訪問http://10.1.1.199/ 查看能否顯示php信息

二、安裝rsyslog 連接MySQL數(shù)據(jù)庫的模塊

• # yum install rsyslog--mysql –y

rsyslog系統(tǒng)默認安裝，可以用  rpm -qa| grep rsyslog  查看是否安裝。

rsyslog--mysql 為rsyslog 將日志傳送到MySQL 數(shù)據(jù)庫的一個模塊，這里必須安裝。

導入rsyslog-mysql 數(shù)據(jù)庫文件

• # cd /usr/share/doc/rsyslog-mysql-5.8.10/

• # mysql -uroot -pabc123 < createDB.sql

查看導入是否成功

• # mysql –uroot –pabc123

• mysql> show databases;             ##顯示所有庫

• mysql> use Syslog;                ##使用庫 Syslog

• mysql> show tables;              ##顯示當前庫的表

• mysql> select * from SystemEvents;     ##顯示表SystemEvents中的所有數(shù)據(jù)，

          表會顯示結果空，但我頭一次實驗時，提示

       的卻是“庫損壞，請修復”

創(chuàng)建rsyslog 用戶在mysql下的相關權限

• mysql> grant all on Syslog.* to rsyslog@localhost identified by ‘123456‘; 

• mysql> flush privileges;

• mysql> exit;

  
  

三、配置服務端支持rsyslog-mysql 模塊

• # vi /etc/rsyslog.conf

在 #### MODULES #### 下添加下面兩行，意思為將rsyslog連接到數(shù)據(jù)庫。

• $ModLoad ommysql   

• *.* :ommysql:localhost,Syslog,rsyslog,123456

說明：*.*表示導入所有日志文件(調(diào)試完成以后可以根據(jù)自己的需求配置）。

    localhost 表示本地主機，Syslog 為數(shù)據(jù)庫名，rsyslog 為數(shù)據(jù)庫的用戶，123456為該      用戶密碼。

開啟相關日志模塊，將各行頭的#刪除即可。

$ModLoad immark     ##immark是模塊名，支持日志標記

$ModLoad imudp     ##imupd是模塊名，支持udp協(xié)議

$UDPServerRun 514   ##允許514端口接收使用UDP和TCP協(xié)議轉發(fā)過來的日志

保存退出后重啟rsyslog服務

# /etc/init.d/rsyslog restart

四、配置設備（先配置一個做測試用）

將交換機、防火墻上的日志主機地址填上10.1.1.199，端口為514.

然后查看mysql中是否有數(shù)據(jù)

• # mysql –uroot –pabc123

• mysql> show databases;     

• mysql> use Syslog;

• mysql> show tables;   

• mysql> select * from SystemEvents;  ##顯示表SystemEvents中的所有數(shù)據(jù)，

                             如果正常，會有數(shù)據(jù)顯示。

注意：如果能顯示數(shù)據(jù)，則正常。否則查看一下網(wǎng)絡是否通暢，防火墻和selinux是否關閉等問題。最好查看一次后重啟，重新查看。正常后繼續(xù)。

五、配置loganalyzer

(未完待續(xù))