Comando sysklogd do Linux

Nos sistemas operacionais Linux , sysklogd é um conjunto de utilitários de log do sistema Linux .

Descrição

O Sysklogd fornece dois utilitários de sistema que oferecem suporte ao log do sistema e captura de mensagens do kernel . O suporte aos soquetes de domínio da Internet e do unix permite que este pacote de utilitário ofereça suporte ao log local e remoto.

O log do sistema é fornecido por uma versão do syslogd derivada do BSD . O suporte ao log do kernel é fornecido pelo utilitário klogd , que permite que o log do kernel seja conduzido de maneira independente ou como um cliente do syslogd .

O syslogd fornece um tipo de registro usado por muitos programas modernos. Toda mensagem registrada contém pelo menos uma hora e um campo de nome de host e normalmente um campo de nome de programa, mas isso depende do programa de log.

O arquivo de configuração principal /etc/syslog.conf ou um arquivo alternativo, fornecido com a opção -f , é lido na inicialização. Todas as linhas que começam com a marca de hash (” # “) e as linhas vazias são ignoradas. Se ocorrer um erro durante a análise de uma linha, a linha inteira será ignorada.

Sintaxe

syslogd [-a socket ] [-d] [-f arquivo-de-configuração ] [-h] [-l hostlist ]
        [-m interval ] [-n] [-p socket ] [-r] [-s domainlist ]
        [-u usuário ] [-v]

Opções

Signals

O Syslogd reage a um conjunto de sinais. Você pode enviar um sinal facilmente para o syslogd usando o seguinte:

kill -SIGNAL `cat / var / run / syslogd.pid`

em que SIGNAL é um dos seguintes sinais :

Sintaxe do arquivo de configuração

O Syslogd usa uma sintaxe ligeiramente diferente para o arquivo de configuração das fontes BSD originais. Originalmente, todas as mensagens de uma prioridade específica e acima foram encaminhadas para o arquivo de log.

Por exemplo, a linha a seguir fez com que TODAS as saídas dos daemons usassem os recursos do daemon (a depuração é a prioridade mais baixa, portanto, todas as demais serão iguais) para entrar em / usr / adm / daemons

# Amostra syslog.conf 
daemon.debug / usr / adm / daemons

Sob o novo esquema, esse comportamento permanece o mesmo. A diferença é a adição de quatro novos especificadores, o curinga asterisco (*), o sinal de equação (=), o ponto de exclamação (!) E o sinal de menos (-).

O * especifica que todas as mensagens para o recurso especificado devem ser direcionadas para o destino. Observe que esse comportamento é degenerado ao especificar um nível de prioridade de depuração. Os usuários indicaram que a notação de asterisco é mais intuitiva.

O curinga = é usado para restringir o log à classe de prioridade especificada. Isso permite, por exemplo, rotear apenas mensagens de depuração para uma fonte de log específica.

Por exemplo, a seguinte linha no syslog.conf direcionaria as mensagens de depuração de todas as fontes para o arquivo / usr / adm / debug.

# Amostra syslog.conf 
*. = depuração / usr / adm / depuração

O ! é usado para excluir o log das prioridades especificadas. Isso afeta todas as possibilidades (!) De especificar prioridades.

Por exemplo, as linhas a seguir registrariam todas as mensagens do correio da instalação, exceto aquelas com as informações de prioridade no arquivo / usr / adm / mail. E todas as mensagens de news.info (incluindo) para news.crit (excluindo) seriam registradas no arquivo / usr / adm / news.

# Amostra syslog.conf 

Você pode usá-lo intuitivamente como um especificador de exceção. A interpretação acima mencionada é invertida. Fazendo o que você pode usar

ou

or

mail.! debug

para pular todas as mensagens que acompanham um recurso de correio.

O ” – ” só pode ser usado para prefixar um nome de arquivo se você deseja omitir a sincronização do arquivo após cada gravação nele.

Suporte para registro remoto

Para habilitar o log remoto, especifique a opção -r na linha de comandos. O comportamento padrão é que o syslogd não escuta a rede.

A estratégia é fazer com que o syslogd escute em um soquete de domínio unix as mensagens de log geradas localmente. Esse comportamento permitirá ao syslogd interoperar com o syslog encontrado na biblioteca C padrão . Ao mesmo tempo, o syslogd escuta na porta syslog padrão as mensagens encaminhadas de outros hosts. Para que isso funcione corretamente, os arquivos de serviços (normalmente encontrados em / etc ) devem ter a seguinte entrada:

syslog 514 / udp

Se esta entrada estiver faltando, o syslogd não poderá receber mensagens remotas nem enviá-las, porque a porta UDP não pode ser aberta. Em vez syslogd irá morrer imediatamente, e imprimir uma mensagem de erro.

Para fazer com que as mensagens sejam encaminhadas para outro host, substitua a linha de arquivo normal no arquivo syslog.conf pelo nome do host para o qual as mensagens devem ser enviadas anexadas com um @ .

Por exemplo, para encaminhar TODAS as mensagens para um host remoto, use a seguinte entrada syslog.conf :

# Exemplo de arquivo de configuração syslogd para 
# mensagens para um host remoto encaminhar tudo. 
*.* @nome de anfitrião

Para encaminhar todas as mensagens do kernel para um host remoto, o arquivo de configuração seria o seguinte:

# Exemplo de arquivo de configuração para encaminhar todo o kernel 
# mensagens para um host remoto. 
kern. * @hostname

Se o nome do host remoto não puder ser resolvido na inicialização, porque o servidor de nomes pode não estar acessível (pode ser iniciado após o syslogd ), o syslogd tentará novamente resolver o nome dez vezes e depois reclamará. Outra possibilidade de evitar isso é colocar o nome do host em / etc / hosts .

Para evitar isso, nenhuma mensagem recebida de um host remoto é enviada para outro (ou o mesmo) host remoto. Se você tiver uma configuração na qual precisa desse comportamento, use a opção de linha de comando -h . No entanto, essa opção precisa ser tratada com cuidado, pois um loop syslog pode preencher discos rígidos rapidamente.

Se o host remoto estiver localizado no mesmo domínio que o host , o syslogd estiver em execução, apenas o nome do host simples será registrado em vez do fqdn inteiro.

Em uma rede local, você pode fornecer um servidor de log central para manter todas as informações importantes em uma máquina. Se a rede consistir em domínios diferentes, você não precisará se queixar de registrar nomes totalmente qualificados em vez de nomes de host simples. Você pode querer usar o recurso de domínio de faixa -s deste servidor. Você pode dizer ao syslogd para remover vários domínios diferentes daquele em que o servidor está localizado e registrar apenas nomes de host simples.

Usando a opção -l , também existe a possibilidade de definir hosts únicos como máquinas locais. Isso também resulta em registrar apenas os nomes de host simples e não os fqdns.

O soquete UDP usado para encaminhar mensagens para hosts remotos ou para receber mensagens deles só é aberto quando necessário. Nas versões anteriores a 1.3-23, era aberto todas as vezes, mas não para leitura ou encaminhamento, respectivamente.

Notas de segurança

Existe o potencial de o daemon syslogd ser usado como um canal para um ataque de negação de serviço . Um programa não autorizado (ou programador) poderia inundar facilmente o daemon syslogd com mensagens syslog, resultando nos arquivos de log consumindo todo o espaço restante no sistema de arquivos. A ativação do log nos soquetes do domínio inet obviamente exporá um sistema a riscos fora de programas ou indivíduos na máquina local.

Existem vários métodos para proteger uma máquina:

1. Implemente o firewall do kernel para limitar quais hosts ou redes têm acesso ao soquete 514 / UDP.
2. O registro pode ser direcionado para um sistema de arquivos isolado ou não raiz que, se preenchido, não prejudicará a máquina.
3. O sistema de arquivos ext2 pode ser usado, o qual pode ser configurado para limitar uma certa porcentagem de um sistema de arquivos ao uso apenas pela raiz. Observe que isso exigirá que o syslogd seja executado como um processo não raiz e evite o uso do log remoto, pois o syslogd não poderá se conectar ao soquete 514 / UDP.
4. Desativar soquetes de domínio inet limitará o risco à máquina local.

Depuração

Quando a depuração é ativada usando a opção -d , o syslogd fica muito detalhado escrevendo muito do que faz no stdout. Sempre que o arquivo de configuração for relido e analisado novamente, você verá uma tabela correspondente à estrutura de dados interna. Esta tabela consiste em quatro campos:

Comandos relacionados

dmesg – Imprima ou controle o buffer de anel do kernel.