Syslog 教程：工作原理、示例、最佳实践等

Syslog 是用于从各种网络设备以特定格式发送和接收通知消息的标准。这些消息包括时间戳、事件消息、严重性、主机 IP 地址、诊断等。就其内置的严重性级别而言，它可以传达 0 级、紧急、5 级、警告、系统不稳定、严重和 6 级和 7 级（信息和调试）之间的范围。

此外，Syslog 是开放式的。Syslog 旨在监视网络设备和系统，以便在出现任何功能问题时发出通知消息——它还针对预先通知的事件发出警报，并通过参与网络设备的更改日志/事件日志监视可疑活动。

Syslog 协议最初由 Eric Allman 编写，并在 RFC 3164 中定义。消息通过 IP 网络发送到事件消息收集器或系统日志服务器。Syslog 使用用户数据报协议 (UDP) 端口 514进行通信。虽然，系统日志服务器不会发回收到消息的确认。自 2009 年以来，系统日志已由 IETF 在RFC 5424 中标准化。

通过Flylib截图

今天，它已经获得了许多操作系统的广泛支持，包括几乎所有版本的 Linux、Unix 和 MacOS。对于 Microsoft Windows，系统日志通过开源和商业第三方库获得支持。

记录的好处

在最简单的定义中，日志记录是保存日志的行为。系统管理员一直在争论记录系统数据的详细程度。在过快地使用磁盘空间和日志中没有足够的数据之间存在权衡。

然而，日志记录的好处仍然广泛——尤其是在对代码进行故障排除时。需要有一个标准化和集中的系统来生成、记录和记录消息。此外，它还有助于提高您控制和使用日志数据的能力。以下是其他一些好处：

减少故障单的数量
减少停机时间
减少业务中断的数量
促进预防性故障排除

如果没有日志记录，搜索可能已在您的任何服务器上处理的单个事务可能会变成一场噩梦。使用集中式日志记录，您可以获得所有日志数据的相关视图。相比之下，单独查看每个日志文件会变得非常耗时。这就是为什么使用 Syslog 将本地日志消息转发到远程日志分析服务器已成为日志记录解决方案的标准。

Syslog 服务器的组件

您现在了解 Syslog 如何为来自多个来源的日志提供中央存储库。为了实现这个目标，Syslog 服务器有几个组件，包括：

Syslog 侦听器——侦听器收集并处理通过 UDP 端口 514 发送的 syslog 数据。尽管如此，没有确认收据，并且不能保证消息到达。
数据库——系统日志服务器需要数据库来存储海量数据以便快速访问。
管理和过滤软件 - 由于可能存在大量数据，因此查找特定日志条目可能需要大量时间。系统日志服务器需要帮助来自动化工作，以及过滤以查看指定的日志消息。例如，它可以根据特定参数（例如关键事件或设备名称）提取消息。您还可以使用过滤器来避免通过否定过滤器规则看到某些类型的条目。如果需要，您可以显示来自防火墙的所有关键日志消息。

这个怎么运作

Syslog 标准中有三个不同的层，它们是：

Syslog 内容（事件消息中包含的信息）
Syslog 应用程序（生成、解释、路由和存储消息）
系统日志传输（传输消息）

此外，可以将应用程序配置为向多个目的地发送消息。还有一些警报可以为事件提供即时通知，例如：

硬件错误
应用程序失败
失去联系
配置错误

此外，可以设置警报以通过短信、弹出消息、电子邮件、HTTP 等方式发送通知。由于该过程是自动化的，IT 团队将立即收到任何设备突然故障的通知。 （图片来自维基共享资源）

系统日志服务器

Syslog 服务器用于发送诊断和监控数据。然后可以分析数据以进行系统监控、网络维护等。由于大量设备支持 Syslog 协议，因此它们可以方便地将信息记录到 Syslog 服务器中。

SNMP 数据可用于快速评估任何故障点。系统日志服务器还可以具有自动事件来触发有助于防止停机或中断的警报。以下是一些基于 Windows 的 Syslog 服务器的列表：

1. Kiwi 系统日志服务器。该服务器易于安装并以纯文本或 HTML 格式生成报告。该软件处理 Syslog 和 SNMP，甚至来自 Linux 和 UNIX 主机。它与 Win XP 32/64、Win 2003 32/64、Windows Vista 32/64、Win7 32/64、Windows 2008 R2 32/64、Windows 8、Windows Server 2012 和 2012 R2 兼容。

2. PRTG。这为 PRTG 监控添加了一个传感器以启用 Syslog 功能。它侧重于 SNMP 和 Syslog 协议数据。它与任何带有 Windows Server 2012 R2 的 Windows 64 位环境兼容。

3. SNMPSoft 系统日志观察器。这是适用于各种设备的专用系统日志服务器。它还可以解析和管理非标准的 Syslog。它通过 Windows 10 与 Windows XP 兼容。

4.帅哥。该系统用于具有内置系统日志服务器的一般网络管理。此外，它还具有通过 RouterOS 进行远程日志记录的功能。它与 Windows 2000 或更新版本兼容。然而，它也可以使用 Wine/Darwine 在 Linux 或 MacOS 上运行。

5.可视化系统日志服务器。这是一个较轻的系统日志选项，可以实时查看警报。阈值可以配置为触发脚本和程序。它与 Windows XP、Vista、7、8、8.1 以及 Windows Server 2003、2008、2012 兼容。

6.数据报。该程序提供企业级功能。它在大型环境中运行良好。它获取并存储系统日志数据。此外，它与 Windows 2000 和更新版本兼容。

对于 Mac OS X，您可以使用 Splunk——它启用系统监控和系统日志事件。事实上，Splunk 被称为运营智能工具。此外，您可以将 Splunk 配置为中央监控服务器的转发器。要配置 Mac OS X Syslogd，您需要：

1. 打开终端窗口

2. 通过键入将 syslogd.conf 的备份副本复制到 /tmp 文件夹中

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#000000">$cp </span><span style="color:#666600">/ </span><span style="color:#000000">etc </span><span style="color:#666600">/ </span><span style="color:#000000">syslog </span><span style="color:#666600">。</span><span style="color:#000000">conf </span><span style="color:#666600">/ </span><span style="color:#000000">tmp </span><span style="color:#666600">/</span><span style="color:#000000">系统日志</span><span style="color:#666600">。</span><span style="color:#000000">CONF </span><span style="color:#666600">。</span><span style="color:#000000">巴克普</span></span></span></span>

3. 在您选择的编辑器中打开配置文件

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#000000">$ sudo vi </span><span style="color:#666600">/ </span><span style="color:#000000">etc </span><span style="color:#666600">/ </span><span style="color:#000000">syslog </span><span style="color:#666600">。</span><span style="color:#000000">配置文件</span></span></span></span>

密码：“sudo”命令用于以“root”权限执行 vi。

4. 如果您的 Splunk 服务器的网络接口，将 IP 地址 192.168.1.12 替换为 IP 地址

5.在vi中输入'i'进入插入模式（文本输入）。确保在选择器和操作字段之间使用制表符而不是空格。

6. 保存并退出。通过键入保存文件

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#666600">': </span><span style="color:#000000">wq </span><span style="color:#008800"><输入> </span><span style="color:#666600">'</span></span></span></span>

7 重新启动“syslogd”服务，然后键入

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#000000">$ ps </span><span style="color:#666600">- </span><span style="color:#000000">e </span><span style="color:#666600">| </span><span style="color:#000000">grep 系统日志</span><span style="color:#006666">5070 </span><span style="color:#666600">?? </span><span style="color:#006666">2 </span><span style="color:#666600">：</span><span style="color:#006666">33.75 </span><span style="color:#666600">/ </span><span style="color:#000000">usr </span><span style="color:#666600">/ </span><span style="color:#000000">sbin </span><span style="color:#666600">/ </span><span style="color:#000000">syslogd</span>   </span></span></span>

这些是重新启动服务的命令：

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#000000">$ sudo launchctl unload </span><span style="color:#666600">/ </span><span style="color:#660066">System </span><span style="color:#666600">/ </span><span style="color:#660066">Library </span><span style="color:#666600">/ </span><span style="color:#660066">LaunchDaemons </span><span style="color:#666600">/ </span><span style="color:#000000">com </span><span style="color:#666600">。</span><span style="color:#000000">苹果</span><span style="color:#666600">。</span><span style="color:#000000">系统日志</span><span style="color:#666600">。</span><span style="color:#000000">列表$ sudo launchctl load </span><span style="color:#666600">/ </span><span style="color:#660066">System </span><span style="color:#666600">/ </span><span style="color:#660066">Library </span><span style="color:#666600">/ </span><span style="color:#660066">LaunchDaemons </span><span style="color:#666600">/ </span><span style="color:#000000">com </span><span style="color:#666600">。</span><span style="color:#000000">苹果</span><span style="color:#666600">。</span><span style="color:#000000">系统日志</span><span style="color:#666600">。</span><span style="color:#000000">列表</span></span></span></span>

要记录事件，请打开一个新的终端窗口并键入：

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#000000">$记录仪</span><span style="color:#666600">- </span><span style="color:#000000">S ^ </span><span style="color:#666600">- </span><span style="color:#000000">P用户</span><span style="color:#666600">。</span><span style="color:#000000">info</span><span style="color:#660066">测试</span><span style="color:#000000">splunk syslog 转发</span></span></span></span>

系统日志格式

Syslog 具有 RFC 5424 定义的日志消息的标准定义和格式。因此，它由标头、结构化数据 (SD) 和消息组成。在标题中，您将看到类型的描述，例如：

优先事项
版本
时间戳
主机名
应用
进程标识
消息编号

然后，您将看到结构化数据，其中包含方括号内“键=值”格式的数据块。在 SD 之后，您将看到详细的日志消息，该消息以 UTF-8 编码。

例如，以下消息：

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#000000"><34>1 2003-10-11T22:14:15.003Z mymachine.example.com su - ID47 - BOM'su root' 对 /dev/pts/8 上的 lonvic 失败</span></span></span></span>

对应于以下格式：

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#000088"><priority></span><span style="color:#000000">版本 ISOTIMESTAMP 主机名应用程序 PID MESSAGEID 结构化数据 MSG
</span></span></span></span>

系统日志消息

系统日志消息用于报告有关软件或硬件问题的紧急和警告级别。为了说明，系统重新启动将通过通知级别发送。系统重新加载将通过信息级别发送。如果输出调试命令，则通过调试级别传送。

通过思科截图

以下是系统日志消息级别：

紧急消息 - 系统不可用且无法使用（可能是由于自然灾害导致的“恐慌”状态）
警报消息——需要立即采取行动（例如备用 ISP 连接丢失）
关键消息 - 关键条件（这可能是主要 ISP 连接丢失）
错误消息——错误情况（必须在指定的时间范围内解决）
警告消息 - 警告条件（表示如果不采取措施可能会发生错误）
通知消息——一切正常，但这仍然是一个重要的条件（通常不需要立即采取行动）
信息性消息——信息性消息（用于报告和测量）
调试消息——调试级别的消息（提供有关调试应用程序的信息）

以下是TechZone 的一些其他示例。此系统错误消息：

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#660066">五月</span><span style="color:#006666">11 </span><span style="color:#006666">10 </span><span style="color:#666600">：</span><span style="color:#006666">40 </span><span style="color:#666600">：</span><span style="color:#006666">48</span><span style="color:#000000">斯克罗吉磁盘</span><span style="color:#666600">-</span><span style="color:#000000">健康</span><span style="color:#666600">-</span><span style="color:#000000">护士</span><span style="color:#666600">[ </span><span style="color:#006666">26783 </span><span style="color:#666600">]：</span><span style="color:#666600">[ </span><span style="color:#000000">ID </span><span style="color:#006666">702911</span><span style="color:#000000">用户</span><span style="color:#666600">。</span><span style="color:#000000">错误</span><span style="color:#666600">]</span><span style="color:#000000">米</span><span style="color:#666600">：</span><span style="color:#000000">SY </span><span style="color:#666600">-</span><span style="color:#000000">周一</span><span style="color:#666600">-</span><span style="color:#000000">全</span><span style="color:#666600">- </span><span style="color:#006666">500 </span><span style="color:#000000">ç </span><span style="color:#666600">：</span><span style="color:#000000">^ h </span><span style="color:#666600">：</span><span style="color:#000000">分区卫生措施</span><span style="color:#000088">对</span><span style="color:#666600">/ </span><span style="color:#000088">VAR</span><span style="color:#000000">没有</span><span style="color:#000088">不</span><span style="color:#000000">就够了</span><span style="color:#666600">-</span><span style="color:#000000">仍然</span><span style="color:#000088">使用</span><span style="color:#006666">96 </span><span style="color:#666600">％</span><span style="color:#000088">的</span><span style="color:#000000">分区空间
</span>      </span></span></span>

可以分为以下几列：

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#660066">第</span><span style="color:#006666">1</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“5 月 11 日 10:40:48” </span><span style="color:#666600">></span><span style="color:#660066">时间戳</span><span style="color:#660066">第</span><span style="color:#006666">2</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“scrooge” </span><span style="color:#666600">> </span><span style="color:#660066">Loghost</span><span style="color:#660066">第</span><span style="color:#006666">3</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“disk-health-nurse[26783]：” </span><span style="color:#666600">></span><span style="color:#660066">应用程序</span><span style="color:#666600">/</span><span style="color:#660066">进程</span><span style="color:#660066">第</span><span style="color:#006666">4</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“[ID 702911 user.error ]" </span><span style="color:#666600">></span><span style="color:#660066">系统日志</span><span style="color:#000000">工具</span><span style="color:#666600">。</span><span style="color:#000000">级别
</span><span style="color:#660066">第</span><span style="color:#006666">5</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“m:SY-mon-full-500” </span><span style="color:#666600">></span><span style="color:#660066">消息</span><span style="color:#000000">ID
</span><span style="color:#660066">第</span><span style="color:#006666">6</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“c:H：分区运行状况...” </span><span style="color:#666600">></span>     <span style="color:#666600">, </span><span style="color:#000000">sid </span><span style="color:#666600">, </span><span style="color:#000000">ip </span><span style="color:#666600">]</span>
</span></span></span>

而且，这是摘要消息的示例：

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#660066">五月</span><span style="color:#006666">11 </span><span style="color:#006666">10 </span><span style="color:#666600">：</span><span style="color:#006666">00 </span><span style="color:#666600">：</span><span style="color:#006666">39</span><span style="color:#000000">斯克罗吉SG_child </span><span style="color:#666600">[ </span><span style="color:#006666">808 </span><span style="color:#666600">]：</span><span style="color:#666600">[ </span><span style="color:#000000">ID </span><span style="color:#006666">748625</span><span style="color:#000000">用户</span><span style="color:#666600">。</span><span style="color:#000000">信息</span><span style="color:#666600">]</span><span style="color:#000000">米</span><span style="color:#666600">：</span><span style="color:#000000">WR </span><span style="color:#666600">- </span><span style="color:#000000">SG </span><span style="color:#666600">-</span><span style="color:#000000">总结C </span><span style="color:#666600">：</span><span style="color:#000000">X虚拟主机</span><span style="color:#666600">：</span><span style="color:#000000">iscrooge61 </span><span style="color:#666600">。</span><span style="color:#000000">隔离</span><span style="color:#666600">。</span><span style="color:#000000">com </span><span style="color:#666600">: </span><span style="color:#006666">80 </span><span style="color:#666600">( </span><span style="color:#000000">http </span><span style="color:#666600">) </span><span style="color:#000000">GET </span><span style="color:#666600">/ </span><span style="color:#666600">=> </span><span style="color:#000000">http </span><span style="color:#666600">:</span>     <span style="color:#880000">//bali/ , status:200 , 重定向 URL:<n/a> , referer:<n/a> , mapping:bali , request size: 421 , backend response size: 12960 , audit token:- , 时间统计（微秒） ): [请求总数 16617 , 允许/拒绝过滤器 1290 , 后端响应 11845 , 响应处理 1643 , ICAP reqmod <n/a> , ICAP respmod <n/a> ] 时间戳: [2012-05-11 10:00:39 ] [ 摆脱：T6zHJ38AAAEAAAo2BCwAAAMk sid：910e5dd02df49434d0db9b445ebba975 ip：172.18.61.2 ]</span>
</span></span></span>

其中包含以下列：

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#660066">第</span><span style="color:#006666">1</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“5 月 11 日 10:00:39” </span><span style="color:#666600">></span><span style="color:#660066">时间戳</span><span style="color:#660066">第</span><span style="color:#006666">2</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“scrooge” </span><span style="color:#666600">> </span><span style="color:#660066">Loghost</span><span style="color:#660066">第</span><span style="color:#006666">3</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“SG_child[808]：” </span><span style="color:#666600">></span><span style="color:#660066">应用程序</span><span style="color:#666600">/</span><span style="color:#660066">进程</span><span style="color:#660066">第</span><span style="color:#006666">4</span><span style="color:#660066">列</span><span style="color:#666600">= </span><span style="color:#008800">“[ID 748625 user.info]” </span><span style="color:#666600">> </span><span style="color:#660066">Syslog</span><span style="color:#000000">设施</span><span style="color:#666600">。</span><span style="color:#000000">level
</span><span style="color:#660066">列</span><span style="color:#006666">5 </span><span style="color:#666600">= </span><span style="color:#008800">"m:WR-SG-SUMMARY" </span><span style="color:#666600">></span><span style="color:#660066">消息</span><span style="color:#000000">ID
</span><span style="color:#660066">列</span><span style="color:#006666">6 </span><span style="color:#666600">= </span><span style="color:#008800">"c:X vhost:..." </span><span style="color:#666600">></span>     <span style="color:#666600">, </span><span style="color:#000000">sid </span><span style="color:#666600">, </span><span style="color:#000000">ip </span><span style="color:#666600">]</span>
</span></span></span>

要跟踪和监控的最重要的日志文件

监控日志文件至关重要，因为它可以帮助您管理操作系统运行中的任何错误。您将收到的一些相关信息类型包括：

用户问题
安全漏洞
硬盘崩溃或断电

当然，您应该始终跟踪一些高优先级的日志文件。日志文件包括：

/var/log/messages – 包含大部分系统消息
/var/log/secure–身份验证消息
/var/log/cron – 记录 Cron 作业活动
/var/log/maillog–邮件交易

如果您查看 /var/log/messages，您会发现：

时间戳
执行程序的主机名
提示消息的实用程序的名称
发生的动作

Syslog 的优缺点

一种有问题的情况是当您的 /var/log/messages 文件由于日志配置错误而填满时。此外，有时您的系统日志记录会导致无法预料的问题。这就是为什么必须了解如何控制日志记录以及日志的保存位置。另外，如果出现大量网络流量，可能会丢失一些数据包。

此外，Syslog 基于 UDP 的事实意味着可能存在可靠性问题。另一方面，随着系统变得越来越复杂，收集和监控应用程序产生的所有相关数据变得越来越重要。

可以分析这些数据以确定系统的行为方式。此外，日志被认为是了解当前系统统计数据和进行趋势预测的可靠数据源。更不用说，日志用于诸如故障排除或故障事故后回滚系统之类的活动。

最佳实践

在保护您的日志文件方面，您将有许多设备来生成该数据。尽管如此，将所有日志数据集中到一个安全和加固的专用主机仍被认为是最佳实践。

此外，您只想在您和 UDP/514 之间的所有防火墙中打开系统日志端口。如果你有一个地理网络，那么你应该有一个本地日志主机——在每个位置——将数据发送到中央日志主机。

您还可以在日志文件达到特定大小时对其进行轮换。尽管如此，UNIX logrotate 实用程序将在轮换旧文件后继续将日志信息写入新文件。以下是使用的关键：

/usr/sbin/logrotate – logrotate 命令
/etc/cron.daily/logrotate – 每天执行 logrotate 命令的 shell 脚本。
/etc/logrotate.conf - 用作此文件中所有日志条目的日志轮换
/etc/logrotate.d – 对于单个包

要每 1KB 轮换一个日志文件，请使用下面的 logrotate.conf

<span style="color:#000000"><span style="color:#555555"><span style="background-color:#f7f7f9"><span style="color:#000000">$ cat logrotate </span><span style="color:#666600">。</span><span style="color:#000000">配置文件</span><span style="color:#666600">/ </span><span style="color:#000000">tmp </span><span style="color:#666600">/</span><span style="color:#000000">输出</span><span style="color:#666600">。</span><span style="color:#000000">日志</span><span style="color:#666600">{</span><span style="color:#000000">大小</span><span style="color:#006666">1k</span><span style="color:#000000">创建</span><span style="color:#006666">700</span><span style="color:#000000">巴拉巴拉旋转</span><span style="color:#006666">4</span><span style="color:#666600">}</span>
</span></span></span>

它为您提供了三个选项：