Ubuntu 設定日誌至遠端 Log Server

本篇說明如何在 Ubuntu 系統上配置日誌轉發至遠端 Log Server，範例中使用的 Log Server 為 10.20.2.30。

1. Ubuntu 系統（本文以 Ubuntu 20.04 為例）
2. Log Server IP：10.20.2.30（需確保已啟用 Syslog 服務並開放 UDP 514 端口）
3. 安裝並啟用 `rsyslog` 服務

• 為了避免誤操作導致原始配置文件損壞，先備份 `/etc/rsyslog.conf`：

  sudo cp /etc/rsyslog.conf /etc/rsyslog.conf.bk

1. 編輯主配置文件 `/etc/rsyslog.conf`，確保已載入日誌模組：

   sudo vim /etc/rsyslog.conf

2. 確認或添加以下模組：

   # 提供核心日誌支援並允許非核心 klog 訊息
   module(load="imklog" permitnonkernelfacility="on")
   
   # 提供檔案日誌支援
   module(load="imfile")

1. 創建一個新的配置文件來定義遠端日誌轉發規則：

   sudo vim /etc/rsyslog.d/99-logserver.conf

2. 添加以下內容，將日誌轉發至遠端 Log Server：

   # 轉發訊息至 Log Server (10.20.2.30:514)
   
   # 規則 1：轉發所有 info 級別以上的日誌（排除 mail、authpriv 和 cron）
   if ($syslogseverity <= 6 and $syslogfacility-text != 'mail' and $syslogfacility-text != 'authpriv' and $syslogfacility-text != 'cron') then {
       action(type="omfile" File="/var/log/syslog")
       action(type="omfwd" Target="10.20.2.30" Port="514" Protocol="udp")
   }
   
   # 規則 2：轉發 SSH 相關日誌（auth 和 authpriv）
   if ($syslogfacility-text == "auth" or $syslogfacility-text == "authpriv") then {
       action(type="omfile" File="/var/log/auth.log")
       action(type="omfwd" Target="10.20.2.30" Port="514" Protocol="udp")
   }

• 應用更改並確認服務正常運行：

  sudo systemctl restart rsyslog && systemctl status rsyslog

1. 在 Ubuntu 系統上生成測試日誌：

   logger "Test message to log server"

2. 檢查遠端 Log Server（10.20.2.30）是否接收到日誌訊息。

1. 確保遠端 Log Server 的防火牆允許 UDP 514 端口的流量。
2. 若 `rsyslog` 服務無法啟動，可檢查日誌：

   journalctl -u rsyslog

3. 若使用 TCP 協議，需將 `Protocol=“udp”` 改為 `Protocol=“tcp”`，並確保 Log Server 支援 TCP 連線。