Memo/Linux/syslog

syslog †

rsyslog †

• Configuration - Rsyslog documentation

• 設定ファイルの構文チェック(/etc/rsyslog.conf, /etc/rsyslog.d/*.conf)

  # 正常時
  sudo rsyslogd -N1;echo $?
  rsyslogd: version 8.2310.0-4.el9, config validation run (level 1), master config /etc/rsyslog.conf
  rsyslogd: End of config validation run. Bye.
  0
  
  # エラー時
  sudo rsyslogd -N1;echo $?
  rsyslogd: version 8.2310.0-4.el9, config validation run (level 1), master config /etc/rsyslog.conf
  rsyslogd: error during parsing file /etc/rsyslog.d/dummy.conf, on or before line 1: warnings occurred in file '/etc/rsyslog.d/dummy.conf' around line 1 [v8.2310.0-4.el9 try https://www.rsyslog.com/e/2207 ]
  1

• 記事
  • rsyslogでomkafkaを使用して直接Kafkaにログを転送する | 俺的備忘録 〜なんかいろいろ〜
  • 「rsyslog」のデータベース出力機能やテンプレート機能、スクリプティング機能を活用する | さくらのナレッジ
  • 多機能なログ管理システム「rsyslog」の基本的な設定 | さくらのナレッジ
  • CentOS rsyslogの設定

ログ受信制限の変更 †

• デフォルトでは、大量のログ受信でディスクフルにならないように制限がかかっている。
• https://www.rsyslog.com/doc/configuration/modules/imjournal.html
  • デフォルトでは10分間、20,000メッセージ

• rsyslog-8.2310.0-4.el9.x86_64

  sudo vim /etc/rsyslog.conf
  --
  module(load="imjournal"
         UsePid="system"
         FileCreateMode="0644"
         StateFile="imjournal.state"
         Ratelimit.Interval="600"
         Ratelimit.Burst="20000}"
         )
  --
  sudo service rsyslog reload

• 制限のテスト。

  seq 1 30000 | logger
  
  sudo tail /var/log/messages

フィルタ †

• 「& stop」または「& ~」(古い書き方)で直前の設定にマッチした行は破棄する。/var/log/messagesに2重に出力されるのを防げる

  cat /etc/rsyslog.d/local0.conf
  local0.* /var/log/local0.log
  & stop

• 指定ホスト名からのログだけを別ファイルに出力

  cat /etc/rsyslog.d/heroku.conf
  :HOSTNAME,isequal,"d.9173ea1f-6f14-4976-9cf0-7cd0dafdcdbc" /var/log/heroku/app-id.log
  & ~

syslogへ記録 †

• オプション
  • -t タグをログに出力(省略可)
  • -i pidをログに出力(省略可)
  • -p facility.level を指定(省略可)

• /var/log/messages に出力されるので便利

  logger -t mycommand -p local0.info -i test
  # or
  echo test | logger -t mycommand -p local0.info
  
  sudo grep mycommand /var/log/messages
  Apr 1 12:00:00 server mycommand[6096]: test

imuxsock begins to drop messages from pid ??? due to rate-limiting †

rsyslogはデフォルトで1つのPIDから5秒間に200メッセージ以上を送信した場合に破棄する。その時に /var/log/messages に出力される

• 記事
  • ログを紛失していないか？ | NCSIRTアドバイザリ | 情報セキュリティのNRIセキュア

• psコマンドでログ中の該当プロセスを調べる

  ps -p 10000

• ratelimitを緩和する

  sudo bash -c "echo -e '\$SystemLogRateLimitInterval 5\n\$SystemLogRateLimitBurst 400' > /etc/rsyslog.d/ratelimit.conf;sudo service rsyslog restart"

• ratelimitを無効にする場合。大量のログでI/Oリソースの消費とログの肥大化する可能性があるので注意

  sudo bash -c "echo -e '\$SystemLogRateLimitInterval 0' > /etc/rsyslog.d/ratelimit.conf;sudo service rsyslog restart"

• File not found: "syslog_caller.golang.zip" at page "Memo/Linux/syslog"[添付] syslogを大量(500行)出力するテストツール(Golang)。bashのforやwhileでは別PIDと扱われてしまうためうまくいかなかった

syslog-ng †

• 記事
  • ＠IT：止められないUNIXサーバの管理対策 第9回
  • syslog-ngの導入と設定（1/3） − ＠IT

syslog †

• 記事
  • cloudpackブログ - cloudpack（クラウドパック）Amazon EC2などクラウドの導入設計、運用・保守サービス: syslogサーバの構築

コンソールへのsyslogの出力を抑制する †

操作の邪魔になる場合があるので、出力レベルを調整する

• 記事
  • EZ-NET： システムログのコンソール出力を停止する (CentOS 5.5) : Linux の使い方

• "-c 4"を足す

  vim /etc/sysconfig/syslog
  ----
  KLOGD_OPTIONS="-x -c 4"
  ----
  service syslog restart

• 確認。一番左の数値が"4"ならOK。(デフォルトの設定値: 6 4 1 7)

  cat /proc/sys/kernel/printk
  4       4       1       7

• 左から
  • 1 console_loglevel
  • 2 default_message_loglevel
  • 3 minimum_console_loglevel
  • 4 default_console_loglevel

• ログレベル

  0	EMERG - 緊急度が重大
  1	ALERT - 早急な対応が必要
  2	CRIT - 緊急
  3	ERR - エラー
  4	WARNING - 注意
  5	NOTICE - 通知
  6	INFO - 情報
  7	DEBUG - デバッグ情報

Software

• 自作ソフト
• wiki自作プラグイン
• 利用規定
• ランキング
• 雑誌等掲載履歴

Programming

Game

雑記

連絡先

• MenuBar
• RightBar
• :admin
  

人気の10件

最新の10件