Troubleshooting Linux using syslog.conf
Different
Linux packages have their own configuration files for Linux network
configuration and troubleshooting. Due to this reason Linux system
administration becomes daunting. However most of Linux applications use
syslog utility for handling errors and status messages for the files
stored in /var/log directory path. Linux troubleshooting for each Linux
core like fedora, redhat and ubuntu etc becomes easy using syslog file.
It is very useful to know that all applications do not display errors
and status messages on computer screen. Linux log server contains Linux
syslog file and logrotate utility makes it easier handle computer
network troubleshooting same like windows network troubleshooting.
The error messages in syslog could be very helpful in finding
malfunctions in the products manuals, items manuals and web searchers
documentation. The both syslog and logrotate files relatively easy to
configure but it needs some special skills to troubleshoot all Linux
applications of which information is included in each Linux system
syslog file. Syslog utility is used for tracking and handling all error
messages which are critical in Linux system syslog server.
An error message contains tow information first function information
which has generated it like applications such as mail and cron which
could be identified easily and second is degree of severity of that
error message. There are eight messages which could display in syslog
file are listed below. Syslog’s configuration file like
/etc/syslog.conf could be configured by placing all different
facilities.
Table: Syslog facilities details
Severity Level
Keyword
Description
0 emergencies System not usable
1 alerts Action required immediately
2 critical Critical condition
3 errors Error conditions
4 warnings Warning conditions
5 notifications Significant and Normal conditions
6 informational messages with information
7 debugging Debugging messages
The /etc/syslog.conf File
Each type of message is written to syslog configuration file
/etc/syslog.conf and this file contains two columns. First column
contains facilities included in syslog and second column contains
description of each keyword in syslog file. Redhat and Fedora
/etc/syslog.conf file is configured to store all messages in file
/var/log/messages like
*info;mail.none;authpriv.nono;cron.none /var/log/messages
In this message all info messages are logged in syslog without mail,
cron or facilities. This logging could be more insightful by replacing
this line and debug severity and /var/log/messages file. Here is a
example
*.debug /var/log/messages
All syslog debug messages excluding auth,news,mail and authpriv are
logged to /var/log/ debug file. You can however change configuration
syntax in several lines by using slash (/) at the end of every line.
Here is example
*.=debug;/
auth,authpriv.none;/
news.none;mail.none -/var/log/debug
/var/log/ messages files is configured to store only info and warning
messages only excluding news,mail,auth and authpriv facilites like
*.=info;*=notice;=warn;/
auth.arhtpriv.none;/
mail.news.none -/var/log/messages
There are specific type of messages sent to the screen for all users
logged in. File definition is normally replaced using an asterisk like
*.emerg 8
Some specific applications can log to have their own application log
files and independent syslog.conf files. Here is example of these files
and directories and using them you can make syslog analysis and handle
errors.
Files:
/var/log/maillog : Mail information
/var/log/httpd/access_log : Apache web server page access logs
Directories:
/var/log
/var/log/samba : Samba messages
/var/log/mrtg : MRTG messages
/var/log/httpd : Apache webserver messages
Restart syslog.conf using this command.
[root@linux-server tmp]# service syslog restart
To restart syslog in Ubuntu:
root@u-linux-server:~# /etc/init.d/sysklogd restart
==================================================
日志文件由系统日志和内核日志监控程序syslog d 与klogd 控制, 在/etc/syslog .conf 文件中配置这两个监控程序默认活动。
日志文件按/etc/syslog .conf 配置文件中的描述进行组织。下图是/etc/syslog .conf 文件的内容：
[root@localhost ~]# cat /etc/syslog .conf
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.* /dev/console
# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none /var/log/messages
# The authpriv file has restricted access.
authpriv.* /var/log/secure
# Log all the mail messages in one place.
mail.* -/var/log/maillog
# Log cron stuff
cron.* /var/log/cron
# Everybody gets emergency messages
*.emerg *
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
local7.* /var/log/boot.log
syslog .conf 行的基本语法是：
[ 消息类型] [ 处理方案]
注意：中间的分隔符必须是Tab 字符！
消息类型是由" 消息来源" 和" 紧急程度" 构成，中间用点号连接。例如上图中，news.crit 表示来自news 的“ 关键” 状况。在这里，news 是消息来源，crit 代表关键状况。通配符* 可以代表一切消息来源。
说明：
第一条语句*.info ，将info 级以上（notice,warning,err,crit,alert 与emerg ）的所有消息发送到相应日志文件。
日志文件类别（按重要程度分类）日志文件可以分成八大类，下面按重要性从大到下列出：
emerg emergency ， 紧急
alert ，
警报
crit critical ， 关键
errerror
， 错误
warning
警告
notice
通知
info
信息
debug
调试
-------------------------------------------------------
简单列一下消息来源：
auth 认证系统，如login 或su ，即询问用户名和口令
cron 系统执行定时任务时发出的信息
daemon 某些系统的守护程序的 syslog ，如由in.ftpd 产生的log
kern 内核的信息
lpr 打印机的信息
mail 处理邮件的守护进程发出的信息
mark 定时发送消息的时标程序
news 新闻组的守护进程的信息
user 本地用户的应用程序的信息
uucp uucp 子系统的信息
local0~local7 系统预留
*
表示所有可能的信息来源
----------------------------------------------------------
处理方案
" 处理方案" 选项可以对日志进行处理。可以把它存入硬盘，转发到另一台机器或显示在管理员的终端上。
处理方案一览：
文件名 写入某个文件，要注意绝对路径。
@ 主机名 转发给另外一台主机的syslog d 程序。
@IP 地址 同上，只是用IP 地址标识而已。
/dev/console 发送到本地机器屏幕上。
* 发送到所有用户的终端上。
| 程序 通过管道转发给某个程序。
例如：
kern.emerg /dev/console( 一旦发生内核的紧急状况，立刻把信息显示在控制台上)
说明：
如果想修改syslog d 的记录文件，首先你必须杀掉syslog d 进程，在修改完毕后再启动syslog d 。攻击者进入系统后通常立刻修改系统日志，因 此作为网管你应该用一台机器专门处理日志信息，其他机器的日志自动转发到它上面，这样日志信息一旦产生就立刻被转移，这样就可以正确记录攻击者的行为。
将日志文件记录到远程主机 。
说到这远程主机就是我们本文要配置的syslog 服务器。
----------------------------------------------------------------
2.syslog 服务器配置实践步骤
例如： 10.0.0.1 为syslog 服务器 10.0.0.2 为客户机
步骤： 1. 服务端配置
vi /etc/sysconfig/syslog
sysLOG D_OPTIONS = “-r –m 0” ## -r 意思是接受远程的日志
重起syslog 服务 /etc/rc.d/init.d/syslog restart
2. 客户端配置
vi /etc/syslog .conf
在消息去向处添加 @10.0.0.1
例如：*.info;mail.none;authpriv.none;cron.none @10.0.0.1
存盘退出重起服务
/etc/rc.d/init.d/syslog restart
( 知识点：直接查看日志尾部： tail /var/log/messages 或者tail /var/log/boot 这样就可以看到syslog 重起)
--------------------------------------------------------------------
注意：日志服务使用的端口是：514/udp syslog 服务器应该打开这个端口
syslog 日志服务器端不能根据源地址过滤，为了防止外网向日志服务器写垃圾信息要在网络拓扑中解决，网关上做限制外网访问514 端口。
如果服务器比较多的话，这样形成的日志比较大，要做好日志的分析
================================================
Fedora Core6中IPtables日志管理技巧
Iptables的手册中提到 LOG
target这个target是专门用来记录数据包有关信息的。这些信息可能是非法的，那就可以用来除错。LOG会返回包的有关细节，如IP头的大部分和
其他有趣的信息。这个功能是通过内核的日志工具完成的，一般是syslogd。返回的信息可用dmesg阅读，或者可以直接查看syslogd的日志文
件，也可以用其他的什么程序来看。LOG对调试规则有很大的帮助，你可以看到包去了哪里、经过了什么规则的处理，什么样的规则处理什么样的包，等等。下面
我们来实现如何通过内核的日志工具管理IPtables日志。
一、配置syslogd的配置文件/etc/syslog.conf
syslogd默认把日志信息输出到/var/log/messages文件。下面向大家介
绍如何建立一个新的IPtables日志文件/var/log/iptables。修改syslogd的配置文件/etc/syslog.conf，告诉
syslogd
IPtables使用哪个记录等级。记录等级的详细信息可以查看文件syslog.conf，一般来说有以下几种，它们的级别依次
是：debug，info，notice，warning，warn，err，error，crit，alert，
emerg，panic。其中，error和err、warn和warning、panic和emerg分别是同义词，也就是说作用完全一样的。注意这三
种级别是不被赞成使用的（因为信息量太大）。信息级别说明了被记录信息所反映的问题的严重程度。
IPtables的所有LOG信息可以通过内核的功能被记录。
首先在文件syslog.conf里添加如下内容
# Iptables logging |
然后再指定iptables的LOG规则使用级别debug（例如：iptables
-I INPUT 1 -j LOG --log-prefix '［IPTABLES DROP LOGS］:' --log-level
debug），就可以把所有的信息存入文件/var/log/iptables内。
最后重新启动syslog服务或重启计算机。
我用的是FC6，用service syslog restart命令可以很方便地启动syslog服务。
二、使用IPtables滚动日志
所有的日志文件都会随着时间的推移和访问次数的增加而迅速增长，因此必须对日志文件进行定期
清理以免造成磁盘空间的不必要的浪费。FC6下有一个专门的日志滚动处理程序logrotate，logrotate能够自动完成日志的压缩、备份、删除
工作，系统默认把logrotate加入到系统每天执行的计划任务中，这样就省得管理员自己去处理了。
首先查看并确定logrotate的配置文件/etc/logrotate.conf内容如下：
# see "man logrotate" for details |
然后在syslog的滚动日志配置文件/etc/logrotate.d/syslog里面添加IPtables的日志文件/var/log/iptables，详细内容如下：
/var/log/iptables /var/log/messages |
最后安排logrotate每天执行一次，确定文件/etc/cron.daily/logrotate内容如下：
#!/bin/sh |
至此我们就为IPtables创建了单独的滚动日志，可以更好地分析网络攻击信息。