rsyslog+loganalyzer系统日志分析系统(基础搭建)

rsyslog+loganalyzer系统日志分析系统(基础搭建)

好吧。先说明一下。本来是想做一下系统日志的分析。但没想到后面发现自己的要求有点高，整个项目要了解的东西是越来越多。于是乎，分开记录吧。

这里是最基础的配置：仅仅是单机版的搭建，东西不多，但是后面几个分段的基础

基础系统：AS6.3

软件：rsyslog是自带的5.8.10

Loganalyzer是网友汉化过的3.6.5

目的：其实很简单，就是实现loganalyer对系统日志的分析。

步骤如下：1.loganalyer其实是php脚本，那么apache要支持php

2.loganalyer可以支持的数据源类型，可以是数据库也可以是直接的系统文件， 为了以后各方面都演示到，所以这里默认用的数据源是mysql。

3.配置rsyslog把日志写入mysql

4.安装配置loganalyer正常工作。

OK，开始：

1~2. 我的系统是AS6的，安装的时候就把LAMP所相关的rpm包全装完了。所以1和2基本上已经OK。但是由于实验是默认环境，所以selinux必须关掉，否则会造成自建的目录httpd服务无法访问。

# setenforce 0 //临时关掉，重启恢复

如果要永久关掉

# vim /etc/selinux/config

把SELINUX=enforcing改成SELINUX=disabled

重启生效

Apache支持php测试可以用如下的方式验证：

# echo "" > /var/www/html/1.php

然后在浏览器中访问http://IP/1.php 如果一切正常的话大概是这样子：

（别忘记把httpd服务打开，#service httpd start）

3. 配置rsyslog把日志写入mysql

首先把mysql服务打开

# service mysqld start

然后找到数据库，这里要说明一下，数据库是在rsyslog-mysql这个包里的，如果没有的话去光盘里找

# rpm -aq | grrep rsyslog

已经装了

找一下默认的数据库文件放在哪里

# rpm -ql rsyslog-mysql-5.8.10-2.el6.i686

在这里

导入数据库

# mysql -uroot -p < /usr/share/doc/rsyslog-mysql-5.8.10/createDB.sql

导完之后，进数据库可以看到新数据库Syslog，里面就只有两张数据表：SystemEvents和SystemEventsProperties。

这里为了等下的日志写入mysql验证要建个新用户设一下密码

mysql> grant all on Syslog.* to rsyslog@localhost IDENTIFIED BY ‘123456’;

mysql> flush privileges;

设置rsyslog把日志数据导入mysql

# vim /etc/rsyslog.conf

去掉 #$ModLoad immark 前的#

//开启标记日志功能

添加 $ModLoad ommysql

//开启mysql支持功能

添加 *.* :ommysql:localhost,Syslog,rsyslog,123456

//把所有日志记录到mysql

重启rsyslog服务

# service rsyslog restart

4. 安装和配置loganalyer

# mkdir log

# tar zxvf loganalyzer-3.6.5-cn.tar.gz -C log

# mv log /var/www/html/

# chown daemon.daemon -R /var/www/html/log/

//这一步是保证等下config文件能被创建

然后访问 http://ip/log/src

没找到配置文件，单击红框。

 

直接 Next

这就OK了，如果写入失败，自己去调整/var/www/html/log 的权限

 

别吃惊，安装默认还是英文的，我启用了浏览器的翻译功能，具体的条目自己对着看吧，其实这样基本明了了。

这步是自动创建表，直接 Next 就行了。

创建结果，23个表成功。Next

建立管理员帐号

配置数据源。这里要注意，数据库名默认是loganalyzer，表名也是全小写，一定要改过来。

完成了，不过别高兴。

好吧，确实完成了。默认是英文的，记得在红框位置改成chinese.这里说一下，如果出现什么表名数据库无法连接之类的。

二话别说，把config.php删除了再来一次——看清大小写。

这要比傻傻的去编辑config.php要快得多——搞过能用和不能用的两个文件，结果只差1Kb。