Syslog-handledning

Den främsta anledningen till nätverk är kommunikation. Under nätverk måste viktiga meddelanden skickas mellan nätverksenheter för att hålla reda på händelser när de inträffar. Som systemadministratör eller som DevOps-personal (Developer Operations) är det mycket viktigt att hålla reda på aktiviteter som pågår över ett nätverk och är mycket användbart för att lösa problem när de dyker upp.

Metoden att logga de flesta gånger anses vara tidskrävande eller stressande. I slutändan är ansträngningen vanligtvis värt det. Men med syslog minskar all denna stress eftersom du kan automatisera loggningsprocessen.Allt du bara behöver göra är att gå igenom stockarna närhelst ett problem uppstår och ta itu med problemen som loggarna indikerar.

Syslog är en känd standard för meddelandeloggning. Oftast stör systemet som loggar och programvaran som genererar dem under processen. Men syslog hjälper till att separera programvaran som genererar loggarna från systemet som lagrar loggarna, vilket gör loggningsprocessen mindre komplicerad och stressande.

Med andra ord är syslog ett öppet system, utformat för att hjälpa till att övervaka nätverksenheter eller system och skicka händelser till en loggningsserver. Det säkerställer att meddelanden skiljer sig utifrån meddelandens prioritet och vilken typ av nätverksenhet som skickar meddelandet.

Förutom att hjälpa till med generering och lagring av loggar, kan den också användas för säkerhetsgranskning samt generell analys och felsökning av systemmeddelanden.

Syslog-standarden är tillgänglig för användning över olika nätverksenheter som routrar, switchar, belastningsbalanseringssystem, intrångsskyddssystem etc. genom att använda User Datagram Protocol i port 514 för att kommunicera meddelanden till loggningsservrarna.

Ett syslog-meddelande följer antingen legacy-syslog eller BSD-syslog-protokollet och har följande format:

• PRI-meddelandesektion
• HEADER meddelande avsnitt
• MEDDELANDE avsnitt

Ett syslog-meddelande kan aldrig gå över 1024 byte.

PRI-meddelandesektion

PRI är också känt som den prioriterade delen av syslog-meddelandet, och kom ihåg tidigare att jag pratade om syslog som skickar loggmeddelanden enligt prioritetsnivån och även typen av nätverksenhet eller anläggning, här är där all den informationen visas. Denna del representerar avsnittet om anläggning och svårighetsgrad i syslog-meddelandet.

Prioritetsvärdet erhålls genom att beräkna produkten från anläggningsnumret (den del av systemet som skickar meddelandet) med 8 och sedan lägga till det numeriska värdet på svårighetsgraden (detta är meddelandets viktnivå enligt systemet.

Prioritetsvärde = (anläggningsnummer * 8) + svårighetsgrad

HEADER meddelande avsnitt

Medan PRI-delen handlade mer om systemet handlar rubrikdelen mer om den information som kommer med syslog-händelsen.

Den innehåller meddelandets tidsstämpel, värdnamnet eller IP-adressen till systemet. Formatet för tidsstämpelfältet är:

MM dd hh: mm: ss

Var:

MM är den månad då syslog skickades som en förkortning. Det betyder att månaden kommer i form av jan, feb, mars, apr osv.

dd är dagen i den månad då meddelandet skickades. När dagen inte är tvåsiffrigt representeras värdet av ett mellanslag och siffran istället för ett 0 och siffran. Detta betyder att "7" används för att skildra 7 istället för "07".

hh är timmen på dagen då meddelandet skickades med 24-timmarsformatet. Med värden mellan 00 och 23, med 00 och 23 inklusive.

mm är minut i timmen då meddelandet skickades. Med värden mellan 00 och 59, inklusive 59.

ss är den andra minuten när meddelandet skickades. Med värden mellan 00 och 59, inklusive 59.

Ett exempel på ovanstående är:

8 mars 22:30:15

MEDDELANDE avsnitt

Det här är oftast där all nödvändig information ligger. Den innehåller programmets namn, processen som ledde till att meddelandet genererades och själva meddelandet.

Meddelandedelen är vanligtvis i formatet: program [pid]: meddelande_text.

Exempel:

Följande är ett exempel på syslog-meddelande: <133>25 feb 14:09:07 webserver syslogd: starta om. Meddelandet motsvarar följande format: tidsstämpel värdnamn applikation: meddelande.

I slutändan, efter att ha genererat meddelandet, är analysering av det ett annat bollspel. Du kan analysera syslog med ett programmeringsspråk som python, använda reguljära uttryck, använda xml-parser och du kan också analysera med json. En loggparser som syslog-ng fungerar perfekt med Python. Det låter dig skriva din egen parser i python, vilket möjliggör mycket mer kontroll över tolkningspotentialerna.

Python är mycket populärt för att skrapa data, så du kan enkelt hitta moduler för att skrota de data som behövs från syslog vilket gör det lättare att bearbeta meddelanden, databaser med frågor etc. Om du tänker använda syslog-ng kan du hämta OSE-konfigurationsfilen och inkludera den i filen.

Du bör dock se till att miljövariabeln PYTHON_PATH innehåller sökvägen till Python-filen och sedan exportera miljövariabeln PYTHON_PATH.

Till exempel:

exportera PYTHONPATH = / opt / syslog-ng / etc

Python-objektet initieras bara en gång när syslog-ng OSE startas eller laddas om. Det betyder att det behåller tillståndet för interna variabler medan syslog-ng OSE körs. Python-analysatorer består av två delar. Den första är ett syslog-ng OSE-parserobjekt som du använder i din syslog-ng OSE-konfiguration, till exempel i loggvägen.

Denna parser refererar till en Python-klass, som är den andra delen av Python-parsers. Python-klassen bearbetar loggmeddelandena som den tar emot och kan göra praktiskt taget allt du kan koda i Python.

parser python (klass (""));; python import re class MyParser (object): def init (self, options):" Valfritt. Den här metoden körs när syslog-ng startas eller laddas om."return True def deinit (self):" Valfritt. Denna metod körs när syslog-ng stoppas eller laddas om."returnera True def parse (self, msg):" Obligatoriskt. Denna metod tar emot och bearbetar loggmeddelandet."returnera True; 

När du äntligen ska analysera din syslog-fil kan du sedan agera på de problem som har orsakat problem.

De flesta gånger skulle du hitta vägarna till katalogerna där problemet ligger, så att du enkelt kan navigera i kataloger med kommandot “cd”.

Med syslog kan du spara mer tid och förbättra effektiviteten.