之前一直都是使用nc來傳資料到 syslog

但這几天發現做好的檔案都被砍了

反正eset現在不允許nc的執行

另外找了一個 sfk

之前有試過 但當時有不少bug

語法如下

sfk oload log.txt +udpsend 10.0.0.1:514

http://stahlworks.com/sfk-udpsend

今天把另一台 graylog 5.2.12 轉到 graylog 6.1.1

graylog 5 預設就會有 syslog udp 514 的 input 不用再另外加

graylog 6 預設沒有 所以一定要記得加上去

漏了一段時間的 log 沒收到

Load Balancing in NGINX

今天有人問graylog的三個node怎麼做load balance
想到之前玩過haproxy
可是查了一下資料
haproxy不支援UDP的load balance
nginx目前已經有支援了
設定方法如下

udp loadbalance

# Load balance UDP‑based DNS traffic across two servers
stream {
    upstream dns_upstreams {
        server 192.168.1.1:53;
        server 192.168.1.2:53;
    }

    server {
        listen 53 udp;
        proxy_pass dns_upstreams;
        proxy_timeout 1s;
        proxy_responses 1;
        error_log logs/dns.log;
    }
}

=============================================================

tcp load balance

upstream mytest {

server 192.168.2.1 weight=3;

server 192.168.2.2 weight=2;

}



server {

listen       443 ssl;

server_name  my.test.tw;



access_log /var/log/nginx/my.test.tw.access.log main;

error_log /var/log/nginx/my.test.tw.error.log warn;



ssl_certificate my.test.tw.crt;

ssl_certificate_key my.test.tw.key;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;



location / {

proxy_pass http://mytest;

proxy_set_header   Host    $host;

proxy_set_header   X-Real-IP   $remote_addr;

proxy_set_header   X-Forwarded-For $proxy_add_x_forwarded_for;

}

}

https://blog.dtask.idv.tw/Nginx/2018-07-31/

https://www.nginx.com/blog/announcing-udp-load-balancing/

最近几天在ubuntu上設定rsyslog
發現如果使用udp的設定
都沒辦法轉送出去到外部的log server
使用tcp就沒問題
設定方式只要修改
/etc/rsyslog.d/50-default.conf

加上
*.*     @@1.2.3.4:5555   使用@@表示TCP
或
*.*     @1.2.3.4:514          使用＠表示UDP    用UDP一直無法成功 沒找到原因

設定好後
systemctl restart rsyslog

https://vexxhost.com/resources/tutorials/how-to-setup-remote-system-logging-with-rsyslog-on-ubuntu-14-04-lts/

之前提到如果要把windows的log丟到syslog上
可以使用evtsys
因為最近玩graylog
官網上有介紹nxlog這個工具
不只是windows可以用 linux, android都有支援 而且還有在更新維護
先來玩一下 windows
找了一台win 10 x32來裝
安裝過程沒什麼問題
裝完後要手動去改config file
路徑在
C:\Program Files\nxlog\conf\nxlog.conf
或
C:\Program Files (x86)\nxlog\conf\nxlog.conf

修改後內容如下

<Output out>
    Module      om_udp   (預設為tcp 視需求修改)
    Host        1.1.1.1           (依需求修改)
    Port        514
#    Exec        to_syslog_snare();  (此行預設打開 但無法傳資料 註解後就正常了)
</Output>

再來就是到服務把nxlog啟動
應該就可以在syslog上看到訊息了
如果有問題 可以check一下log
C:\Program Files\nxlog\data\nxlog.log
或
C:\Program Files (x86)\nxlog\data\nxlog.log


http://www.ilanni.com/?p=595