Configurer la redirection des journaux distants (Syslog)

Comment configurer VergeOS pour transférer les journaux système vers un serveur syslog distant pour une gestion centralisée des journaux, l’archivage et la conformité.

VergeOS peut être configuré pour transférer les journaux vers un serveur Syslog distant, une fonctionnalité importante pour les organisations qui utilisent l'agrégation des journaux pour la gestion centralisée, l'archivage des journaux et la conformité.

Rétention des journaux

L'activité journalisée est généralement disponible dans l'interface utilisateur VergeOS pendant une durée maximale de 45 jours. Configurez le transfert de journaux à distance pour conserver les journaux plus longtemps.

Prérequis

• Connectivité réseau entre VergeOS et le serveur syslog distant
• Règles de pare-feu appropriées pour autoriser le trafic syslog (généralement le port 514)
• Accès aux paramètres système de VergeOS

Étapes de configuration

Pour configurer le transfert des journaux vers un serveur syslog distant :

1. Accédez aux paramètres avancés

Accédez à Système > Paramètres > Paramètres avancés.

2. Configurez le serveur syslog distant

1. Sous l'en-tête de colonne "Setting", tapez syslog et appuyez sur Entrée pour rechercher
2. Sélectionnez et modifiez Serveur syslog distant (tcp: @@name/ip:port, udp: @name/ip:port)
3. Configurez ce paramètre selon la syntaxe attendue par votre serveur distant :

Exemples de configuration du serveur

• Pour TCP : @@10.10.10.10:514
• Pour UDP : @10.10.10.10:514

Choisir TCP ou UDP

• TCP (@@) offre une livraison garantie ; utilisez-le pour la journalisation d'audit et de conformité.
• UDP (@) fonctionne en mode « fire-and-forget » : moins de surcharge, mais les messages peuvent être perdus sous charge.

Port du collecteur

Écouter sur le port 514 nécessite des privilèges root sur le collecteur. De nombreux collecteurs fonctionnent sans privilèges (par exemple, dans des conteneurs) et écoutent sur le port 1514 à la place. Saisissez le port sur lequel votre collecteur écoute.

1. Cliquez sur Envoyer en bas de la page pour enregistrer

3. Configurez le modèle de format

1. Recherchez syslog à nouveau dans les paramètres
2. Sélectionnez et modifiez Modèle à définir pour le serveur syslog (voir rsyslog pour le format)
3. Entrez un format de modèle syslog compatible avec votre serveur syslog distant

Exemple de modèle

   RFC5424,"<%PRI%>1 %TIMESTAMP:::date-rfc3339% %HOSTNAME%.your-hostname-here %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%\n"

Utilisez le littéral 1 après <%PRI%> — c'est le champ de version RFC 5424. N'utilisez pas %PROTOCOL-VERSION% : il s'affiche comme 0 sur le réseau, et les collecteurs RFC 5424 stricts (Promtail/Loki, Fluent Bit, Graylog moderne) rejettent la version 0 avec des erreurs d'analyse.

Remplacez your-hostname-here par le nom d'hôte réel, ou laissez-le tel que .HOSTNAME_HERE pour utiliser le nom d'hôte système par défaut.

Transfert depuis plusieurs systèmes VergeOS

%HOSTNAME% résout le nom de nœud nu (node1, node2), ce qui est ambigu lorsque plusieurs systèmes VergeOS transfèrent vers le même collecteur. Modèles de nom d'hôte courants :

Modèle	Exemple de sortie	Utiliser
%HOSTNAME%	node1	Un seul système
mycluster-%HOSTNAME%	mycluster-node1	Un préfixe par système ; recommandé pour plusieurs systèmes
%HOSTNAME%.mycluster.example.com	node1.mycluster.example.com	style FQDN

1. Cliquez sur Envoyer en bas de la page pour enregistrer le format

Notes du collecteur

Le modèle RFC 5424 ci-dessus fonctionne avec les collecteurs courants :

Collecteur	Notes de configuration
Graylog	Utilisez une entrée Syslog TCP ou entrée Syslog UDP .
Loki	Utilisez une tâche de collecte Promtail ; Promtail nécessite un RFC 5424 strict (la syslog version littérale). 1 Splunk
Utilisez une entrée de données TCP ou UDP, ou Splunk Connect for Syslog.	Elasticsearch
Ingestez via Logstash avec le plugin d'entrée	input syslog .
relais rsyslog	Utilisez un imtcp ou imudp standard.

Ressources supplémentaires

Pour plus d'informations sur les modèles syslog et les options de formatage, consultez la Documentation Rsyslog.

Vérification

Après avoir enregistré la configuration, VergeOS commence à transférer les journaux vers le serveur spécifié. Vérifiez sur le collecteur que les journaux VergeOS arrivent.

Si les journaux n'arrivent pas :

1. Sur l'hôte du collecteur, capturez le trafic sur le port syslog configuré pour confirmer l'arrivée des paquets (remplacez 514 par le port que vous avez configuré) :

   tcpdump -i any -A port 514

2. Inspectez les messages capturés pour vérifier le format sur le réseau. Un message RFC 5424 commence par <PRI>1 (par exemple, <30>1 2026-04-15T...); une valeur de 0 signifie que le modèle utilise toujours %PROTOCOL-VERSION% — voir l'avertissement sur le modèle ci-dessus.
3. Assurez-vous que les règles de pare-feu entre VergeOS et le collecteur autorisent le port et le protocole configurés.