前天安排了一个任务&＃xff0c;要在一台服务器上搭建日志服务器&＃xff0c;作用是记录本网段所有服务器的日志&＃xff0c;我们这个网段包括WWW、DNS、Mail、计费、Video、电子政务等十几台服务器&＃xff0c;系统包括Windows2000、Windows2003、Linux9、AS4和Solaris。因为以前根本没有这方面的经验和资料&＃xff0c;自然而然想到了在网上搜罗一下&＃xff0c;可能是这方面的应用不是太广吧&＃xff0c;找来找去&＃xff0c;只找到了一篇比较对路的资料&＃xff0c;就是这篇“集中管理服务器日志”。全文如下&＃xff1a;

----------------------------------------------------------------------------------------------------------------------
1 创建日志服务器&＃xff0c;用来接收客户端发送来的日志&＃xff0c;采用Linux系统默认的syslog程序
配置syslog程序&＃xff0c;使其能够接收其他服务器发来的日志。

为了将日志按服务器ip分类&＃xff0c;可以将syslogd程序配置如下&＃xff0c;需要修改一下/etc/syslog.conf文件&＃xff1a;
authpriv.* |/var/log/servers/server_login.sh

这表示把系统的登入登出日志&＃xff08;包括本机系统登陆登出日志&＃xff09;存放到/var/log/servers文件夹下。在记录目标前面加上“|”表示把接收到的信息交给后面的程序处理&＃xff0c;这个程序可以是一个专门的日志处理软件&＃xff0c;也可以是一个自己编写的小的脚本,举例&＃xff1a;

#&＃xff01;/bin/sh

read stuff

SERVER&＃61;&＃96;echo $stuff |awk ‘{print $4}’&＃96;

echo $stuff >> /var/log/login_log/$SERVER.log

这个简单的脚本以IP作为分类依据&＃xff0c;先用read读取log信息&＃xff0c;用awk取出第四字段&＃xff08;即IP地址或者主机名所在的字段&＃xff09;&＃xff0c;以该字段为文件名存放该主机的日志。这样一来&＃xff0c;来自192.168.1.1的log会记录到192.168.1.1.log文件中,来自192.168.1.2的log会被记录在192.168.1.2.log文件中&＃xff0c;分析和归类就比较方便了。甚至把log信息分类后插入数据库中&＃xff0c;这样日志的管理和分析就更方便了。

2 配置linux客户端&＃xff0c;发送其日志到日志服务器。

3 配置windows服务器&＃xff0c;使其发送日志到日志服务器。需要安装一个第三方软件&＃xff0c;名字叫eventsys,用于转发日志到linux系统的syslog日志服务程序。下载地址为&＃xff1a;
https://engineering.purdue.edu/E ... cuments/UNIX/evtsys
解压后是两个文件evtsys.dll和evtsys.exe &＃xff0c;把这两个文件拷贝到 c:\windows\system32目录下。
打开Windows命令提示符&＃xff08;开始&＃xff0d;>运行 输入CMD&＃xff09;

C:\>evtsys –i –h 192.168.0.2

-i 表示安装成系统服务

-h 指定log服务器的IP地址

打开windows组策略编辑器 (开始->运行 输入 gpedit.msc)&＃xff0c;在windows设置&＃xff0d;> 安全设置 &＃xff0d;> 本地策略 &＃xff0d;>审核策略 中&＃xff0c;打开你需要记录的windows日志。evtsys会实时的判断是否有新的windows日志产生&＃xff0c;然后把新产生的日志转换成syslogd可识别的格式,通过UDP 3072端口发送给syslogd服务器。

所不同的是evtsys是以daemon设备的方式发送给 syslogd log信息的。

因此&＃xff0c;需要在/etc/syslog.conf中加入&＃xff1a;

daemon.notice |/var/log/server_login.sh
----------------------------------------------------------------------------------------------------------------------

看完此文后&＃xff0c;心里大概有了一个谱了&＃xff0c;知道该怎样操作了&＃xff0c;可是还有一些细节性的问题需要搞清楚&＃xff1a;

1&＃xff1a;第一步关于建立日志服务器讲得不是很清楚&＃xff0c;后面四行编写的脚本是不是就是前面的程序server_login.sh&＃xff1f;然后这一步是不是仅仅就写一个脚本和改动一下syslog.conf文件就可以了&＃xff1f;总觉得没有这么简单。
2&＃xff1a;第二步讲的更不清楚&＃xff0c;如何配置Linux客户端&＃xff0c;使其发送其日志到日志服务器&＃xff1f;另外我们的很多服务器采用的是Linux AS4系统&＃xff0c;日志服务器如果安装的版本与它不同或者说低于它&＃xff08;如Redhat Linux9&＃xff09;&＃xff0c;能否同样完成日志的传送&＃xff1f;
3&＃xff1a;第三步配置Windows客户端有一个问题&＃xff0c;就是Windows客户端记录系统日志使用的是系统自带的Eventvwr.msc组件&＃xff0c;此组件记录的日志分为三部分&＃xff1a;应用程序日志、系统日志和安全性日志&＃xff0c;那么在发送日志到日志服务器的时候&＃xff0c;是不是将三部分统统发送&＃xff1f;
4&＃xff1a;很多专有系统有自己自带的日志记录工具&＃xff0c;如&＃xff1a;计费服务器和邮件服务器&＃xff0c;那么这部分的日志能不能够被记录到日志服务器&＃xff1f;如果能&＃xff0c;又该如何操作&＃xff1f;
5&＃xff1a;最后一个问题是&＃xff0c;有没有一款基于Windows系统的搭建日志服务器的软件&＃xff1f;当然&＃xff0c;它能够跨系统接收Linux、Solaris和FreeBSD等OS发送的日志。