Cấu hình chuyển tiếp nhật ký từ xa (Syslog)

Cách cấu hình VergeOS để chuyển tiếp nhật ký hệ thống đến một máy chủ syslog từ xa nhằm quản lý nhật ký tập trung, lưu trữ và tuân thủ.

VergeOS có thể được cấu hình để chuyển tiếp nhật ký đến một máy chủ Syslog từ xa, một khả năng quan trọng đối với các tổ chức tận dụng tổng hợp nhật ký để quản lý tập trung, lưu trữ nhật ký và tuân thủ.

Lưu giữ nhật ký

Hoạt động đã ghi nhật ký thường có sẵn trong giao diện người dùng VergeOS tối đa trong 45 ngày. Cấu hình chuyển tiếp nhật ký từ xa để lưu giữ nhật ký trong thời gian dài hơn.

Điều kiện tiên quyết

• Kết nối mạng giữa VergeOS và máy chủ syslog từ xa
• Các quy tắc tường lửa phù hợp để cho phép lưu lượng syslog (thường là cổng 514)
• Quyền truy cập vào Cài đặt Hệ thống VergeOS

Các bước cấu hình

Để cấu hình chuyển tiếp nhật ký đến một máy chủ syslog từ xa:

1. Điều hướng đến Cài đặt nâng cao

Điều hướng đến Hệ thống > Cài đặt > Cài đặt nâng cao.

2. Cấu hình máy chủ Syslog từ xa

1. Trong cột "Setting", nhập syslog và nhấn Enter để tìm kiếm
2. Chọn và chỉnh sửa Máy chủ syslog từ xa (tcp: @@name/ip:port, udp: @name/ip:port)
3. Cấu hình thiết lập này theo cú pháp mà máy chủ từ xa của bạn mong đợi:

Ví dụ cấu hình máy chủ

• Đối với TCP: @@10.10.10.10:514
• Đối với UDP: @10.10.10.10:514

Chọn TCP hay UDP

• TCP (@@) cung cấp cơ chế đảm bảo gửi; hãy dùng cho nhật ký kiểm toán và tuân thủ.
• UDP (@) là kiểu gửi không xác nhận: chi phí thấp hơn, nhưng thông điệp có thể bị rơi khi tải cao.

Cổng bộ thu

Việc lắng nghe trên cổng 514 yêu cầu đặc quyền root trên bộ thu. Nhiều bộ thu chạy không có đặc quyền (ví dụ, trong các container) và lắng nghe trên cổng 1514 thay vào đó. Nhập cổng mà bộ thu của bạn lắng nghe.

1. Nhấp Gửi ở cuối trang để lưu

3. Cấu hình mẫu định dạng

1. Tìm syslog lại trong cài đặt
2. Chọn và chỉnh sửa Mẫu để định nghĩa cho máy chủ syslog (Xem rsyslog để biết định dạng)
3. Nhập định dạng mẫu syslog tương thích với máy chủ syslog từ xa của bạn

Ví dụ mẫu

   RFC5424,"<%PRI%>1 %TIMESTAMP:::date-rfc3339% %HOSTNAME%.your-hostname-here %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%\n"

Dùng literal 1 sau <%PRI%> — đó là trường phiên bản RFC 5424. Đừng dùng %PROTOCOL-VERSION%: nó hiển thị thành 0 trên đường truyền, và các bộ thu RFC 5424 nghiêm ngặt (Promtail/Loki, Fluent Bit, Graylog hiện đại) sẽ từ chối phiên bản 0 với lỗi phân tích cú pháp.

Thay your-hostname-here bằng hostname thực tế của bạn, hoặc để nguyên .HOSTNAME_HERE để dùng hostname hệ thống mặc định.

Chuyển tiếp từ nhiều hệ thống VergeOS

%HOSTNAME% được phân giải thành tên nút thuần (node1, node2), điều này gây mơ hồ khi nhiều hệ thống VergeOS chuyển tiếp đến cùng một bộ thu. Các mẫu hostname phổ biến:

Mẫu	Kết quả ví dụ	Dùng
%HOSTNAME%	node1	Một hệ thống đơn lẻ
mycluster-%HOSTNAME%	mycluster-node1	Một tiền tố cho mỗi hệ thống; khuyến nghị cho nhiều hệ thống
%HOSTNAME%.mycluster.example.com	node1.mycluster.example.com	Kiểu FQDN

1. Nhấp Gửi ở cuối trang để lưu định dạng

Ghi chú cho bộ thu

Mẫu RFC 5424 ở trên hoạt động với các bộ thu phổ biến:

Bộ thu	Ghi chú cấu hình
Graylog	Dùng một Syslog TCP hoặc Syslog UDP đầu vào.
Loki	Dùng một Promtail syslog job scrape; Promtail yêu cầu RFC 5424 nghiêm ngặt (giá trị literal 1 phiên bản).
Splunk	Dùng đầu vào dữ liệu TCP hoặc UDP, hoặc Splunk Connect for Syslog.
Elasticsearch	Nạp qua Logstash với syslog plugin đầu vào.
relay rsyslog	Dùng một imtcp hoặc imudp trình lắng nghe.

Tài nguyên bổ sung

Để biết thêm thông tin về mẫu syslog và các tùy chọn định dạng, hãy truy cập Tài liệu Rsyslog.

Xác minh

Sau khi bạn lưu cấu hình, VergeOS sẽ bắt đầu chuyển tiếp nhật ký đến máy chủ được chỉ định. Hãy kiểm tra bộ thu để xác nhận nhật ký VergeOS đã đến.

Nếu nhật ký không đến:

1. Trên máy chủ bộ thu, bắt gói tin trên cổng syslog đã cấu hình để xác nhận các gói tin đến (thay 514 bằng cổng bạn đã cấu hình):

   tcpdump -i any -A port 514

2. Kiểm tra các thông điệp đã bắt để xác minh định dạng truyền trên dây. Một thông điệp RFC 5424 bắt đầu bằng <PRI>1 (ví dụ, <30>1 2026-04-15T...); một phiên bản của 0 có nghĩa là mẫu vẫn đang dùng %PROTOCOL-VERSION% — xem cảnh báo mẫu ở trên.
3. Đảm bảo các quy tắc tường lửa giữa VergeOS và bộ thu cho phép cổng và giao thức đã cấu hình.