Linux Logging mit Rsyslog und Journald

Auf einem Linux-System laufen – selbst dann, wenn man nicht aktiv damit arbeitet – ständig zahlreiche Dienste im Hintergrund. Diese erzeugen fortlaufend Meldungen zu Systemzuständen oder Ereignissen. Die Erfassung, Auswertung und Speicherung dieser Meldungen übernimmt zentral ein Logging-Dienst. Auf allen gängigen Linux-Systemen kommen dafür heute vor allem Rsyslog und Journald zum Einsatz.

Während Journald der standardmäßige Logging-Mechanismus moderner Linux-Distributionen ist, sollten die Möglichkeiten von Rsyslog keinesfalls unterschätzt werden. Dank zahlreicher Plugins bietet Rsyslog eine große Vielfalt an Zusatzfunktionen. Zudem ermöglicht Rsyslog das Weiterleiten von Logmeldungen über das Netzwerk an andere Server. Auf einem zentralen Zielsystem können so die Nachrichten vieler Geräte – etwa Server, Drucker oder Switches – zusammengeführt und gemeinsam ausgewertet werden.

Der professionelle Umgang mit diesen Logging-Werkzeugen ist daher unverzichtbar für jeden Linux-Techniker!

Überblick Logging Mechanismen auf Linux

• Problematik Hintergrundprozesse
• Logging mit Syslog (syslogd, rsyslog, syslog-ng)
• Logging mit journald

Architektur von rsyslog

• Kommunikationsprotokolle (TCP, UDP, Ports)
• Syslog Facilities auf Linux Systemen
• Syslog Priorities
• Remote Logging
• Logging Ziele
• rsyslog in Kombination mit journald
• Konfigurationsunterschiede bei SUSE, Red Hat und Debian

journald der System Logging Dienst

• Anpassen des Storage Verhaltens
• Zugriffsteuerung auf journald
• Überprüfen der Datenbankkonsistenz
• Auswerten von Logmeldungen mit journalctl
• Filtern von Einträgen
• Anpassen des Log Format Ausgabe
• Fehleranalyse mit systemd-analyse
• Bootprozess
• Mangelhafte Sicherheitseinstellungen

Produzieren von Logmeldungen

• Das Logger Kommando im Detail
• Logging mit systemd-cat in systemd Umgebungen

Rotieren von Logdateien mit Logrotate

• Funktionsweise von logrotate
• Konfigurationsparameter in /etc/logrotate.conf
• Logdateien Veraltung in /etc/logrotate.d/*
• Praktische Beispiele

Fortgeschrittene rsyslog Implementierung

• Syntax der Konfigurationsdatei
• Statement Formate
• sysklogd
• legacy rsyslog
• RainerScript

Remote Logging

• Empfänger und Sender Einstellungen
• Übertragungsmethoden (tcp, udp, relp)
• Filtern und Aufsplitten von empfanden Remote Meldungen

Fortgeschrittene Regel Aktionen

• Ausführen von mehreren Aktionen pro Regel
• Ausführen von externen Befehlen
• Schreiben in Dateien (Rechteverwaltung)

RuleSets

• Erstellen von Regeln Container (RuleSet)
• Umlenken von Nachrichten in unterschiedliche RuleSets
• RuleSets und das Aufsplitten von Remote Server Logs

Rsyslog Templates

• Erstellen von Templates
• Templates und Property Replacer
• Konvertieren und Formatieren von Logmeldungen
• Erstellen von Standard Templates für Logdateien und Datenbanken

Fortgeschrittene Filter conditions

• Facility/Priority based filters
• Property based filters
• Expression based filters

Verschicken von Benachrichtigungen

• an angemeldete Benutzer
• an eMail Empfänger

Performance

• Tuning Möglichkeiten
• rsyslog Queues im Überblick
• RuleSets und Queues
• Splitten von Logmeldungen auf unterschiedliche Queues

Praktische Beispiele und Übungen

• syslog-ng im Überblick
• Vorteile von syslog-ng im Vergleich zu rsyslog
• Syntax der Konfigurationsdatei
• Objektorientierte Konfiguration (options, source, filter, destination, log)

• Linux Administrator*innen

Diese Schulung richtet sich an alle Teilnehmer*innen mit Administrationserfahrungen im Linux Bereich, wie sie in unserem Linux 1 - Grundlagen vermittelt werden.