Linux 之 rsyslog+mysql+LogAnalyzer 日志收集系统

　　 作者:邓聪聪

　　LogAnalyzer 是一个 syslog 和其他网络事件数据的 Web 前端工具，提供简单易用的日志浏览、搜索和基本分析以及图表显示

　　由于公司部分项目需求使用日志记录系统，随笔记录

1：在rsyslog服务器上部署 LAMP环境。

[root@Log_server ~]# yum -y install wget httpd mysql mysql-server php php-mysql postgresql postgresql-server php-postgresql php-pgsql php-devel gd gd-devel php-gd

[root@Log_server ~]# /etc/init.d/mysqld start
[root@Log_server ~]# /etc/init.d/httpd start

2:安装rsyslog 连接MySQL数据库的模块

[root@Log_server ~]# yum install rsyslog-mysql –y

　　导入rsyslog-mysql 数据库文件

[root@Log_server ~]# cd /usr/share/doc/rsyslog-mysql-5.8./
[root@Log_server rsyslog-mysql-5.8.10]# mysql -uroot  < createDB.sql
[root@Log_server rsyslog-mysql-5.8.10]# mysql
mysql>show databases;
mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| Syslog             |
| mysql              |
| test               |
+--------------------+
 rows in set (0.00 sec)

mysql> mysql> show tables;
+------------------------+
| Tables_in_Syslog       |
+------------------------+
| SystemEvents           |
| SystemEventsProperties |
+------------------------+
 rows in set (0.00 sec)

mysql> grant all on Syslog.* to rsyslog@localhost identified by 'yourpwd';
mysql> flush privileges;
mysql> exit

3:配置服务端支持rsyslog-mysql 模块，并开启UDP服务端口获取网内其他设备日志或LINUX系统日志

　　

Bye
[root@Log_server ~]# grep -v '^#' /etc/rsyslog.conf |grep -v  '^$'
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imklog   # provides kernel logging support (previously done by rklogd)
$ModLoad immark  # provides --MARK-- message capability
$ModLoad imudp
$UDPServerRun
$ModLoad ommysql       #启动rsyslog的数据库模块
*.* :ommysql:localhost,Syslog,rsyslog,heju@.com    #连接数据库的信息
========以上两行是需要插入的内容
$ModLoad imtcp
$InputTCPServerRun
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$IncludeConfig /etc/rsyslog.d/*.conf
*.info;mail.none;authpriv.none;cron.none                /var/log/messages
authpriv.*                                              /var/log/secure
mail.*                                                  -/var/log/maillog
cron.*                                                  /var/log/cron
*.emerg                                                 *
uucp,news.crit                                          /var/log/spooler
local7.*                                                /var/log/boot.log

4：配置http下的配置文件，编辑/etc/httpd/conf/httpd.conf，在</IfModule>行增加index.php

　　

DirectoryIndex index.html index.php
</IfModule>

5：安装LogAnalyzer

　　

[root@Log_server ~]# wget http://download.adiscon.com/loganalyzer/loganalyzer-3.6.5.tar.gz
[root@Log_server ~]# ll
total
-rw-------.  root root     Jan  : anaconda-ks.cfg
-rw-r--r--.  root root     Jan  : install.log
-rw-r--r--.  root root     Jan  : install.log.syslog
-rw-r--r--   root root  Oct     loganalyzer-3.6..tar.gz
[root@Log_server ~]# tar -xf loganalyzer-3.6..tar.gz
[root@Log_server ~]# cd loganalyzer-3.6.
[root@Log_server loganalyzer-3.6.]# ll
total
-rw-rw-r--   root root  Oct     ChangeLog
drwxrwxr-x   root root   Oct     contrib
-rw-rw-r--   root root  Oct     COPYING
drwxrwxr-x   root root   Oct     doc
-rw-rw-r--   root root   Oct     INSTALL
drwxrwxr-x  root root   Oct     src
[root@Log_server loganalyzer-3.6.]# cp src/* /var/www/html/
[root@Log_server loganalyzer-3.6.5]# touch config.php
[root@Log_server loganalyzer-3.6.5]# chmod 666 config.php

6：后端的操作大功告成，接下来就是前端web的配置了

　　浏览器输入日志服务器IP：IP/install.php,完成安装，填写对应的参数IP

　　这里就不一一贴图了，主要注意填数据库的几个参数

　　source type 需要修改成mysql native 源，随后填写mysql相关信息，注意（Database Tablename 处默认是首字母小写的，正确应该是SystemEvents  ！！！）

7：客户端的配置模式

liunx系统设备：

1 检查rsyslog 是否安装

rpm -qa|grep rsyslog #默认都是安装的

2 配置rsyslog 客户端发送本地日志到服务端

vi /etc/rsyslog.conf

*.* @服务器IP

华为交换机客户端配置：

[Sysname] info-center enable     #开启信息中心
[Sysname] info-center loghost 192.168.100.100 channel loghost     #指定向日志主机输出日志信息的通道为 loghost 通道
[Sysname] info-center source default channel loghost debug state off log state off trap state off     #关闭所有模块日志主机的 log、trap、debug 的状态（注意：由于系统对各通道允许输出的系统信息的缺省情况不一样，所以配置前必须将所有模块的需求通道（本例为loghost ）上log、trap、debug 状态设为关闭，再根据当前的需求配置输出相应的系统信息。可以用display channel 命令查看通道的状态）。
[Sysname] info-center source default channel loghost log level informational     #允许输出信息的模块为所有模块 source：default
display channel loghost     #查看通道状态