3.1 配置接收日志方式(日志输入方式)
编辑/etc/rsyslog.conf,配置日志接收的方式,根据自身需求删掉对应的#号。
这边是用udp 514端口进行日志接收。
如果要用udp非514端口,记得要关掉selinux。
<
3.2 配置日志转发方式(日志输出方式)
编辑/etc/rsyslog.conf,在文件末尾添加如下内容
<
PS:如果要按源设备的IP进行区分的话可以按照下面的方式修改
<
4. 设置rsyslog自启与放行端口
上面配置修改配置文件后,重启rsyslog且设置服务开机自启
<
放行udp 514端口,当然你也可以把防火墙都关了
<
5. NGAF 配置syslog
根据自己的需求在NAAF里面把日志传送到syslog里面
6.其他
6.1 NGAF syslog修改主机名称
在配置转发后,对端接收到的日志发送IP就是我这台日志中继的IP不是防火墙的IP地址。且日志内容主机名写的是localhost,不是防火墙配置的设备名称。这样对端的话比较不好区分源日志是谁发出来的。
通过咨询泉州办的技术,通过修改底层脚本,把原本的localhost修改为具体的设备名称。这样日志发送过去后,就可以通过日志内容去判断具体是哪台设备发送的日志了。
(修改前的日志内容)
(修改后的日志内容)
6.2 保存日志到rsyslog
如果想转发日志且又要保存日志到这台rsyslog服务器的时候。我们可以编辑配置文件/etc/rsyslog.conf 新增配置
<
7.总结
整个过程简单点说就是。
日志输入方式:通过udp或TCP 514端口输入,
日志输出方式:文件(6.2保存日志到文件),或者其他syslog服务器(3.2转发日志)。