Configurar un servidor de logs con rsyslog

Introducción

Es posible que en alguna ocasión queramos recibir los registros o logs que genera cierto dispositivo en un servidor central de logs. Un ejemplo muy básico sería el recibir los logs que genera nuestro router o punto de acceso en nuestro ordenador o servidor.

Pues bien, todo esto es muy sencillo de realizar con el paquete rsyslog.

Configuración de servidor

Para configurar un servidor de logs con rsyslog debemos de seguir los siguientes pasos:

1.- Instalamos el paquete rsyslog:

$ apt-get install rsyslog

2.- Editamos el fichero /etc/rsyslog.conf

$ emacs /etc/rsyslog.conf

, y descomentamos las líneas siguientes:

$ModLoad imudp
$UDPServerRun 514

3.- Reiniciamos el servicio:

$ /etc/init.d/rsyslog restart

Con eso ya tendríamos un servidor de logs «corriendo» en nuestro sistema en el puerto por defecto 514:

$ netstat --inet -pan | grep 514
udp   0   0 0.0.0.0:514   0.0.0.0:*   1399/rsyslogd

Configuración del cliente

Como comentaba inicialmente, podríamos configurar nuestro router, punto de acceso o cualquier otro dispositivo para que nos envíe los logs a nuestro servidor. Todos o casi todos los routers permiten configurar esta característica.

Simplemente sería indicar la dirección IP de nuestro servidor y el puerto que hayamos configurado:

En el caso de que queramos configurar otro equipo con un rsyslog ya instalado, habría que editar su correspondiente fichero de configuración para añadir la siguiente línea dentro de la sección «RULES»:

$ emacs /etc/rsyslog.conf

###############
#### RULES ####
###############

*.* @192.168.1.1:514

Tras esto, reiniciamos el rsyslog del cliente.

$ /etc/init.d/rsyslog restart

A partir de este momento, nuestro servidor ya debería de recibir los logs de los clientes configurados, podemos comprobarlo haciendo un tail del fichero syslog:

$ tail -f /var/log/syslog

Dec  8 13:25:51 Cliente1 kernel: imklog 5.8.11, log source = /proc/kmsg started.
Dec  8 13:25:51 Cliente1 rsyslogd: [origin software="rsyslogd" swVersion="5.8.11" x-pid="30251" x-info="http://www.rsyslog.com"] start
Dec  8 13:26:00 ADSL  kernel: HG56BZRB DoControlRelayStatus: connect PSTN relay
Dec  8 13:26:00 ADSL  kernel: ####SLIC Set the relay as connected for ReInjection Dectected.