Weiterleitung von Remote-Protokollen konfigurieren (Syslog)

Wie Sie VergeOS so konfigurieren, dass Systemprotokolle an einen entfernten Syslog-Server weitergeleitet werden, um zentrales Log-Management, Archivierung und Compliance zu ermöglichen.

VergeOS kann so konfiguriert werden, dass es Logs an einen entfernten Syslog-Server weiterleitet. Das ist eine wichtige Funktion für Organisationen, die Log-Aggregation für zentrale Verwaltung, Log-Archivierung und Compliance nutzen.

Aufbewahrungsdauer von Logs

Protokollierte Aktivität ist im VergeOS-Benutzerinterface normalerweise für maximal 45 Tage. Konfigurieren Sie die Weiterleitung von Logs an ein entferntes Ziel, um Logs länger aufzubewahren.

Voraussetzungen

• Netzwerkverbindung zwischen VergeOS und dem entfernten Syslog-Server

• Geeignete Firewall-Regeln, die Syslog-Traffic zulassen (typischerweise Port 514)

• Zugriff auf die VergeOS-Systemeinstellungen

Konfigurationsschritte

So konfigurieren Sie die Log-Weiterleitung an einen entfernten Syslog-Server:

1. Navigieren Sie zu Erweiterte Einstellungen

Navigieren Sie zu System > Einstellungen > Erweiterte Einstellungen.

2. Konfigurieren Sie den entfernten Syslog-Server

1. Geben Sie unter der Spaltenüberschrift "Einstellung" syslog und drücken Sie Enter zum Suchen

2. Auswählen und bearbeiten Remote-Syslog-Server (tcp: @@name/ip:port, udp: @name/ip:port)

3. Konfigurieren Sie diese Einstellung gemäß der von Ihrem entfernten Server erwarteten Syntax:

Beispiele für die Serverkonfiguration

• Für TCP: @@10.10.10.10:514

• Für UDP: @10.10.10.10:514

TCP oder UDP wählen

• TCP (@@) bietet garantierte Zustellung; verwenden Sie es für Audit- und Compliance-Logs.

• UDP (@) ist Fire-and-Forget: geringerer Overhead, aber Nachrichten können unter Last verloren gehen.

Collector-Port

Das Lauschen auf Port 514 erfordert Root-Rechte auf dem Collector. Viele Collector laufen ohne Privilegien (zum Beispiel in Containern) und lauschen stattdessen auf Port 1514 . Geben Sie den Port ein, auf dem Ihr Collector lauscht.

1. Klicken Sie auf Absenden am Ende der Seite, um zu speichern

3. Konfigurieren Sie die Vorlagenformatierung

1. Suchen Sie erneut nach syslog in den Einstellungen

2. Auswählen und bearbeiten Vorlage zur Definition für den Syslog-Server (siehe rsyslog für das Format)

3. Geben Sie ein Syslog-Template-Format ein, das mit Ihrem entfernten Syslog-Server kompatibel ist

Vorlagenbeispiel

   RFC5424,"<%PRI%>1 %TIMESTAMP:::date-rfc3339% %HOSTNAME%.your-hostname-here %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%\n"

Verwenden Sie das wörtliche 1 nach <%PRI%> — es ist das RFC-5424-Versionsfeld. Verwenden Sie nicht %PROTOCOL-VERSION%: es wird als 0 auf dem Draht übertragen, und strenge RFC-5424-Collector (Promtail/Loki, Fluent Bit, modernes Graylog) lehnen Version 0 mit Parsing-Fehlern ab.

Ersetzen Sie your-hostname-here durch Ihren tatsächlichen Hostnamen oder lassen Sie es als .HOSTNAME_HERE um den standardmäßigen System-Hostname zu verwenden.

Weiterleitung von mehreren VergeOS-Systemen

%HOSTNAME% wird auf den reinen Knotennamen (node1, node2) aufgelöst, was mehrdeutig ist, wenn mehrere VergeOS-Systeme an denselben Collector weiterleiten. Gängige Hostname-Muster:

Muster	Beispielausgabe	Verwenden
%HOSTNAME%	node1	Ein einzelnes System
mycluster-%HOSTNAME%	mycluster-node1	Ein Präfix pro System; empfohlen für mehrere Systeme
%HOSTNAME%.mycluster.example.com	node1.mycluster.example.com	FQDN-Stil

1. Klicken Sie auf Absenden am Ende der Seite, um das Format zu speichern

Hinweise zum Collector

Das oben stehende RFC-5424-Template funktioniert mit gängigen Collectors:

Collector	Konfigurationshinweise
Graylog	Verwenden Sie eine Syslog TCP oder Syslog UDP Eingabe.
Loki	Verwenden Sie einen Promtail syslog Scrape-Job; Promtail erfordert strikt RFC 5424 (die wörtliche 1 Version).
Splunk	Verwenden Sie einen TCP- oder UDP-Dateninput oder Splunk Connect for Syslog.
Elasticsearch	Über Logstash mit dem syslog Eingabe-Plugin.
rsyslog-Relay	Verwenden Sie einen standardmäßigen imtcp oder imudp Listener.

Zusätzliche Ressourcen

Weitere Informationen zu Syslog-Templates und Formatierungsoptionen finden Sie in der Rsyslog-Dokumentation.

Überprüfung

Nachdem Sie die Konfiguration gespeichert haben, beginnt VergeOS mit der Weiterleitung der Logs an den angegebenen Server. Prüfen Sie den Collector, um zu bestätigen, dass die VergeOS-Logs ankommen.

Wenn keine Logs ankommen:

1. Erfassen Sie auf dem Collector-Host den Traffic auf dem konfigurierten Syslog-Port, um zu bestätigen, dass Pakete ankommen (ersetzen Sie 514 durch den von Ihnen konfigurierten Port):

   tcpdump -i any -A port 514

2. Prüfen Sie die erfassten Meldungen, um das Wire-Format zu verifizieren. Eine RFC-5424-Meldung beginnt mit <PRI>1 (zum Beispiel, <30>1 2026-04-15T...); eine Version von 0 bedeutet, dass das Template weiterhin %PROTOCOL-VERSION% — siehe die obige Template-Warnung.

3. Stellen Sie sicher, dass die Firewall-Regeln zwischen VergeOS und dem Collector den konfigurierten Port und das Protokoll zulassen.