लिनक्स syslog सर्वर के लिए विंडोज इवेंट (इवेंट लॉग) को अग्रेषित करना

प्रविष्टि

यह आलेख सिस्टम प्रशासक के लिए अभिप्रेत है जो लिनक्स से परिचित हैं और मिश्रित वातावरण में इन प्रणालियों के परिवार का उपयोग करते हैं, अच्छी तरह से जानते हैं कि विभिन्न कार्यों में विभिन्न ओएस अच्छे हैं। यह सभी प्रशासकों के लिए भी हितकारी होगा, यहां तक ​​कि वे भी जो लिनक्स से परिचित नहीं हैं, इसका सैद्धांतिक हिस्सा।

यह केंद्रीकृत भंडारण और प्रसंस्करण की सुविधा के लिए विंडोज-आधारित सर्वर के इवेंट लॉग से लिनक्स सिसोगल में सिस्टम ईवेंट को स्थानांतरित करने के लिए एक सरल और विश्वसनीय विधि (यहां तक ​​कि एक साधारण और विश्वसनीय तृतीय-पक्ष उपयोगिता) का वर्णन करता है।

वास्तविकता यह है कि वर्तमान कॉर्पोरेट परिवेश में, सबसे प्रभावी और विश्वसनीय समाधान सर्वर ऑपरेटिंग सिस्टम के मिश्रण पर आधारित है, क्योंकि उनकी समस्याओं को हल करने की गुणवत्ता और तरीके हैं। वर्कस्टेशन, और इसलिए उनके समूह प्रबंधन और प्रशासन, सक्रिय निर्देशिका पर करना आसान है; वेब सर्वर, प्रॉक्सी सर्वर लिनक्स पर डालने के लिए अधिक विश्वसनीय है; एक सिस्को सिस्को से कुछ करने के लिए तेज़ है। यह एक वस्तुनिष्ठ वास्तविकता है कि कई मध्यम आकार की कंपनियों के प्रशासक (विशेष रूप से लिनक्स से परिचित हैं) के साथ काम करते हैं, वे अभी भी विंडोज से दूर नहीं हो सकते हैं, और अक्सर कंपनी के पास विंडोज पर डोमेन नियंत्रक और एक प्रॉक्सी सर्वर और लिनक्स पर एक राउटर होता है - छोटी कंपनियों में आप एक विंडोज के साथ प्राप्त कर सकते हैं, एक बड़ी कंपनी में, सबसे अधिक संभावना है कि लिनक्स प्रशासक और वाइन प्रशासक जो अपने क्षेत्रों के लिए कुशलता से जिम्मेदार हैं। एक तरीका या दूसरा, यह लेख इस विषय पर सिद्धांत और शोध नहीं है, यह लेख एक विशिष्ट कार्य के बारे में है जो लगभग हमेशा ऐसे वातावरण में काम करने वाले किसी भी प्रशासक के लिए होता है, और परिचय कुछ समय के लिए खींच लिया गया है।

विवरण

हर कोई जो सर्वर के साथ काम करता है, हर दिन अपनी मशीनों पर लॉग सिस्टम को जानता है और उसका उपयोग करता है और हर कोई जानता है कि वे कैसे व्यवस्थित हैं - लिनक्स पर syslog और विंडोज पर इवेंट लॉग।

विंडोज सर्वर 2008 के युग से पहले, इवेंट लॉग एक अजीब प्रणाली थी, जैसे कि यह सर्वरों के लिए नहीं था - प्रत्येक कंप्यूटर ने अपने ईवेंट को स्थानीय रूप से और सुविधाजनक तंत्रों में संग्रहीत किया और उन्हें केंद्रीकृत देखने के लिए नेटवर्क पर प्रसारित करने के लिए या कम से कम कोई भंडारण नहीं था। वैसे, यह सभी को पता है। सर्वर के लिए लॉग देखना, MMORPG में एक खोज की तरह था - कई स्थानों का पता लगाएं और प्रत्येक में कई आइटम एकत्र करें। विंडोज विस्टा से शुरू होकर, लोगों की ओर एक कदम बढ़ाया गया था और अन्य विंडोज> विस्टा कंप्यूटर पर एक स्थानीय ईवेंट फॉरवर्ड सिस्टम बनाया गया था। यह अच्छा और प्रगतिशील है और यह वही है जो गायब था, लेकिन वास्तविकता यह है कि इस समय कई विंडोज 2003 सर्वर बने हुए हैं और पुराने नहीं हैं जिनके लिए इस तरह के तंत्र नहीं हैं या वे मौजूद नहीं हैं, लेकिन वे उन्हें अपने राक्षसी कार्यान्वयन के साथ दोहराते हैं।

दूसरी ओर, लिनक्स के लिए एक सरल और विश्वसनीय syslog सिस्टम है, जो मूल रूप से वितरित ट्रांसमिशन और लॉग के रिसेप्शन के लिए विकसित किया गया था और इसमें वह सब कुछ शामिल है जो इसके लिए आवश्यक है। वह अपना काम इतनी अच्छी तरह से कर रही है कि इस प्रोटोकॉल का उपयोग करके लॉग भेजने की क्षमता हार्डवेयर राउटर और विभिन्न अन्य उपकरणों के एक समूह में बनाई गई है, और यह नेटवर्क पर एक सर्वर बनाने के लिए काफी संभव है जो नेटवर्क, सर्वर, राउटर, स्विच, प्रिंट- सभी डिवाइसों से सभी लॉग एकत्र करेगा। सर्वर, कॉफी निर्माता, कूलर, ओह कुछ मैं विभाजित ... सिवाय विंडोज के। यह संभावना नहीं है कि कोई ऐसा व्यक्ति होगा जिसे यह पता नहीं था कि अगर विंडोज अपने लॉग को सिसलॉग में भेज सकता है तो यह लॉग रिपॉजिटरी को केंद्रीकृत करने के लिए एक आदर्श समाधान होगा। एक स्थान पर सब कुछ होना कितना सुविधाजनक होगा - इसे सालों तक संग्रहीत किया जा सकता है, पाठ फ़ाइलों को संग्रहित करना (वे पूरी तरह से संकुचित हैं), और कई सर्वरों से एक पाठ फ़ाइल को पार्स करके संसाधित किया जाता है, एक ही बार में कई मशीनों के लिए एक महत्वपूर्ण घटना को पकड़ता है।

मैंने ऐसा सवाल पूछा। मैंने उनसे कुछ साल पहले पूछा था और एक अप्रिय उपद्रव का सामना करना पड़ा - बहुत सारी उपयोगिताओं हैं जो आपको ऐसा करने की अनुमति देती हैं, लेकिन वे सभी एक पेशेवर प्रशासक के दुःस्वप्न की तरह दिखते हैं - सी # पर कभी-कभी कुछ भयानक उपयोगिताओं में एक हजार बटन और चेकबॉक्स के साथ 100 मेगाबाइट आकार में हैं और जो सबसे अप्रिय है। - _ भुगतान किया गया। मुझे नहीं पता कि मजाक क्या है, लेकिन कुछ साल पहले Google ऐसी कार्यक्षमता के साथ वाणिज्यिक सॉफ्टवेयर के लिंक से भर गया था। इसी समय, सॉफ्टवेयर उच्च गुणवत्ता का नहीं है, गूंगा साइटों और स्क्रीनशॉट्स को देखते हुए। यह अब उनसे भरा हुआ है, और, मेरी अपनी टिप्पणियों के अनुसार, आलसी से बहुत दूर और बेवकूफ प्रशासक जो अपनी सुविधा के लिए सफलतापूर्वक इस तरह की कार्यक्षमता का उपयोग करने में सक्षम हैं, उन्हें वह नहीं मिला जिसकी उन्हें आवश्यकता है और पता नहीं क्या होता है। कम से कम मेरी सलाह और संदर्भ के लिए उन्होंने मुझे एक से अधिक बार धन्यवाद दिया, और अब मैं इसे आपके साथ साझा करना चाहूंगा। अर्थात्, कुछ समय पहले (काफी समय पहले, मैंने यह लेख केवल अब लिखने का फैसला किया है), मैं अपनी आवश्यकताओं और आवश्यकताओं के अनुकूल एक परियोजना खोजने में कामयाब रहा:

http://code.google.com/p/eventlog-to-syslog/

मैं संक्षेप में उनके लाभों का वर्णन करूंगा:
एक प्रणाली सेवा है, अर्थात आपको स्टार्टअप पर कुछ भी चलाने की आवश्यकता नहीं है, सर्वर पर कचरा की अगली सफाई के दौरान कोई भी अजीब निष्पादन योग्य नहीं जिसे गलती से भुला दिया जा सकता है;
- संक्षिप्त वितरण - .dll, .exe और छोटी, लेकिन व्यापक प्रलेखन;
- ओपन सोर्स कोड;
- संस्करण 32-बिट और 64-बिट;
- इवेंट लॉग के साथ विंडोज के किसी भी संस्करण पर समान कार्य और संस्करण;
- सेटिंग्स की एक न्यूनतम (ऐसा न्यूनतम कि यह सेवा स्थापित करते समय कमांड लाइन है और काम के लिए एक पाठ फ़ाइल जिसे आप चाहें तो बिल्कुल भी नहीं खोल सकते हैं);
- अधिकतम कार्यक्षमता को कवर करना - यह प्रोग्राम जो कुछ भी करना चाहिए, वह करता है - लॉग को विभिन्न सुविधाओं में भेजना जानता है, कुछ घटनाओं को भेजने से कैसे बाहर करना जानता है, और इसी तरह, यहां तक ​​कि लॉग सर्वर का नाम भी dhcp द्वारा प्राप्त करें।

मैं अपने आप से जोड़ता हूं कि, सबसे पहले, छह महीने के लिए अब यह कार्यक्रम मेरे 8 सर्वरों पर और 2003 और 2008 में सिर्फ काम करता है, स्थापना के बाद मैंने उनमें से किसी पर भी जांच नहीं की है, फिर भी एक असफल नहीं हुआ, इसे लेने नहीं गया, इसे भी नहीं बदला और यहां तक ​​कि मैं इस सेवा की ओर नहीं देखता था, जो किसी भी अन्य अनुप्रयोग को किसी भी तरह से प्रभावित नहीं करती थी, यह सिर्फ स्थापना के बाद अपना काम करती है - लगातार उन घटनाओं को भेजती है जहां उन्होंने उसे बताया था। और दूसरी बात यह है कि यह प्रोग्राम बहुत ही गतिशील रूप से विकसित नहीं हुआ है, जो कि बहुत पहले से कार्यक्षमता प्राप्त कर रहा है, जिसके बाद यह स्थिर हो गया और अब काफी नियमित रूप से, लेकिन बहुत बार नहीं, बिल्ड से पता चलता है कि कार्यक्षमता को कंघी करें और छोटे शायद ही कभी पुनर्निर्मित बग को ठीक करें।

चलो और भी अधिक बारीकियों पर चलते हैं।

समायोजन

लिनक्स पर syslog सेट करना।
नेटवर्क लॉगिंग सक्षम करें, यह syslogd डेमॉन का -r स्विच है। डिफ़ॉल्ट रूप से, यह लगभग हमेशा पंजीकृत नहीं होता है, और जब आप बिना syslogd के शुरू करते हैं, तो नेटवर्क नहीं सुनता है।

तब शायद आप वास्तव में इसे पसंद नहीं करेंगे यदि लिनक्स, राउटर और विंडोज के लॉग एक फ़ाइल में मिश्रित होते हैं और एक कठिन समझने वाले दलिया में बदल जाते हैं। इसके लिए, syslog प्रणाली में कई खंड (सुविधा) हैं और अलग-अलग सुविधाओं पर पहुंचने वाले संदेश अलग-अलग फाइलों में लिखे जा सकते हैं। चूंकि विंडोज से लॉग विशेष रूप से कर्नेल या मेल के लिए विशेष रूप से उपयुक्त नहीं हैं, विशेष रूप से इसके लिए syslog में स्थानीय नामक कई "अवैयक्तिक" सुविधाएं हैं। एक अलग फ़ाइल में उदाहरण के लिए स्थानीय 1 को बाहर निकालने के लिए, /etc/syslog.conf में लाइन जोड़ें:

local1। * - / var / log / local1.log

खैर, याद रखें कि यह नंबर 1 पर स्थानीय है। उसी तरह, आप शेष स्थानीय को स्थानीय 0 से स्थानीय 7 में विभाजित कर सकते हैं।
मैं इस तथ्य पर आपका ध्यान आकर्षित करता हूं कि यह सबसे सरल syslog कॉन्फ़िगरेशन है जो आपको बस विंडोज से लॉग को एक अलग फ़ाइल में डालने की अनुमति देता है, पतली syslog कॉन्फ़िगरेशन आपको डेमॉन में आने वाले संदेशों को काफी वितरित करने की अनुमति देता है, लेकिन यह सब syslog मैनुअल में वर्णित है और सबसे अधिक संभवतया लिनक्स से परिचित किसी भी व्यवस्थापक को पता है।
विंडोज पर इनस्टॉलिंग इनस्टॉल करना।

स्थापना प्राथमिक है - वितरण पैकेज डाउनलोड करें, इसमें .dll और .exe, उन्हें% WINDIR% \ System32 \ में कॉपी करें
हम आवश्यक मापदंडों के साथ .exe शुरू करते हैं।

Evtsys.exe के पैरामीटर:
-मैं सेवा स्थापित करें
-यू डिलीट सर्विस
-डी देबग कंसोल प्रोग्राम के रूप में चलाएँ
-h होस्ट होस्टनाम जहां लॉग भेजने के लिए
-b होस्ट होस्ट का दूसरा नाम जिसका नाम लॉग को डुप्लिकेट करने के लिए है
सुविधा सुविधा लॉग
-l स्तर भेजे गए संदेशों का न्यूनतम स्तर
0 = सभी, 1 = महत्वपूर्ण, 2 = त्रुटियां, 3 = चेतावनी, 4 = सूचना
-n केवल कॉन्फ़िगरेशन में शामिल ईवेंट भेजें
-p पोर्ट syslog पोर्ट नंबर
Sqlog hostname और port पाने के लिए -q bool Query DHCP
(0/1 = सक्षम / अक्षम)
-s मिनट संदेश के बीच अंतराल। ० = अक्षम

केवल एक विकल्प की जरूरत है: -ह मेजबान। सेवा के रूप में evtsys स्थापित करने के लिए, आपको -i विकल्प निर्दिष्ट करना होगा। हम स्थानीय सुविधा के लिए डिफ़ॉल्ट सुविधा (सिस्टम डेमॉन) को बदलने के लिए -f विकल्प में भी रुचि रखते हैं।
Evtsys डिजिटल पदनाम सुविधा का उपयोग करता है, यहाँ एक सूची है:

0 कर्नेल संदेश
1 उपयोगकर्ता-स्तरीय संदेश
2 मेल सिस्टम
3 प्रणाली डेमॉन
4 सुरक्षा / प्राधिकरण संदेश
5 संदेश आंतरिक रूप से syslogd द्वारा उत्पन्न किए गए
6 लाइन प्रिंटर सबसिस्टम
7 नेटवर्क समाचार सबसिस्टम
8 UUCP सबसिस्टम
9 घड़ी डेमॉन
10 सुरक्षा / प्राधिकरण संदेश
11 एफ़टीपी डेमॉन
12 NTP उपतंत्र
13 लॉग ऑडिट
14 लॉग अलर्ट
15 घड़ी डेमॉन
16 स्थानीय उपयोग 0 (स्थानीय 0)
17 स्थानीय उपयोग 1 (स्थानीय 1)
18 स्थानीय उपयोग 2 (local2)
19 स्थानीय उपयोग 3 (local3)
20 स्थानीय उपयोग 4 (local4)
21 स्थानीय उपयोग 5 (local5)
22 स्थानीय उपयोग 6 (local6)
23 स्थानीय उपयोग 7 (स्थानीय 7)

आपको जिस चीज़ की ज़रूरत है, उसका चयन करें, हमारे मामले में यह 17 (स्थानीय 1) है और आगे, पूरा कमांड इस तरह दिखेगा:
% WINDIR% \ System32 \ evtsys.exe -i -h [syslog के साथ आपका लिनक्स पता] -f 17

यदि आप कुछ ईवेंट को सिसलॉग को भेजने से रोकना चाहते हैं, उदाहरण के लिए, सुरक्षा अनुभाग में नेटवर्क पर कंप्यूटर से प्रत्येक कनेक्शन के बारे में दिखाई देने वाले कचरे का एक बड़ा ढेर, आप एक फ़ाइल बना सकते हैं (या यदि सेवा पहले से ही शुरू हो गई है)% WINDIR% \ System32 \ evtsys। इसमें cfg और हथौड़ा उन घटनाओं में है जो आप EventSource: EventID के प्रारूप में रुचि नहीं रखते हैं। उदाहरण के लिए, लाइन "सुरक्षा-ऑडिटिंग: *" पूरी तरह से विंडोज> विस्टा पर सुरक्षा अनुभाग भेजने में अक्षम हो जाएगी, लाइन "सुरक्षा-ऑडिटिंग: 4624" केवल कोड 4624 (नेटवर्क से कंप्यूटर तक इंटरैक्टिव पहुंच, नेटवर्क से किसी को ब्राउज़ करना) के साथ केवल घटनाओं को भेजने को अक्षम कर देगा। । दुखद विडंबना यह है कि सर्वर ऑपरेटिंग सिस्टम की नई पीढ़ी के लिए नए ईवेंट लॉग को विकसित करते समय, Microsoft ने विभाजन और कोड के नामों को पूरी तरह से बदल दिया, साथ ही साथ मानक संदेशों और आम तौर पर सभी घटनाओं को फिर से लिखा, ताकि विंडोज 2003 पीढ़ी और विंडोज 2008 पीढ़ी के विभाजन के नाम और नंबर उत्पन्न हो सकें। घटनाओं में नाटकीय रूप से भिन्नता होगी। हालांकि, अक्सर उनका एक ही अर्थ होगा। क्या घटना का मतलब है कि क्या और क्या उनके नाम और संख्या साइट http://www.eventid.net/ से पता लगाने के लिए सुविधाजनक हैं।

उसके बाद, आप विंडोज सेवाओं की सूची खोल सकते हैं और "Eventlog to Syslog" नामक सेवा शुरू कर सकते हैं और लॉग फ़ाइल में सर्वर पर syslogd के साथ लगभग निम्नलिखित रूप में दिखाई देने लगेंगे:

# सिर -n 1 /var/log/local1.log
Jun 20 09:13:30 श्री एसआरवी सुरक्षा-लेखा परीक्षा: 4634: एक खाता बंद किया गया। विषय: सुरक्षा आईडी: S-1-5-21-xxxxxxxxxx-xxxxxxxxxx-2304319227-3176 खाता नाम: XXXXXX $ खाता डोमेन: XXX लॉगऑन आईडी: 0x325f90ec लॉगऑन प्रकार: 3 यह घटना तब उत्पन्न होती है जब लॉगऑन सत्र नष्ट हो जाता है। यह लॉगऑन आईडी मान का उपयोग करके लॉगऑन ईवेंट के साथ सकारात्मक रूप से सहसंबद्ध हो सकता है। लॉगऑन आईडी केवल एक ही कंप्यूटर पर रिबूट के बीच अद्वितीय हैं।

निष्कर्ष

मैंने व्यक्तिगत रूप से और क्या किया है और नियमित अभिव्यक्तियों से परिचित कोई भी प्रशासक दोहरा सकता है।

खुद के लिए, मैंने रनिंग लॉग के लूप्ड पार्सर पर लिखा, जो लॉग की अभी भी काफी पठनीय शीट से नहीं है:
क) उन घटनाओं को काटता है जो मुझे दिलचस्पी नहीं लेते हैं: उदाहरण के लिए, नेटवर्क से कंप्यूटर पर सभी समान कॉल (किसी भी कंप्यूटर के नेटवर्क पर किसी भी ब्राउज़िंग से सभी कंप्यूटरों का कारण बनता है कि वह अपने नेटवर्क वातावरण में इस बारे में एक संदेश देखेंगे, लेकिन यह वास्तव में सर्वर पर संदेशों का एक बड़ा गुच्छा है, खासकर अगर कई)। इस तरह की "मेरे लिए दिलचस्प नहीं" घटनाओं की एक सूची बनाने के लिए मुझे केवल एक दिन लगा।
बी) उन घटनाओं को टिंट करें जो मुझे रुचि रखते हैं और उन्हें तकनीकी दृष्टि से मानव एक में अनुवाद करते हैं, उदाहरण के लिए, आरडीपी के माध्यम से सर्वर पर लॉगिन का रंग नीला है और लॉग से एक पूरी लाइन नहीं लिखी गई है, जैसे कि मैं ऊपर लाया गया था, जिसमें से यह समझने की जरूरत है कि कौन और कौन खड़ा था "xxx" (आईपी: xxxx) द्वारा 'XXX' में रिमोट लॉगिन करें।

नतीजतन, मुझे एक सांत्वना उपयोगिता मिली जिसमें कुछ ऐसी चीजें हैं जो मुझे हमेशा रुचि देती हैं, और इसके अलावा जो कुछ भी हुआ वह लिखा जाएगा ताकि यह वास्तव में अलग हो जाए, समझे और जल्दी से जवाब दे सके। आप कभी-कभी उस दिन के दौरान कंसोल को देख सकते हैं जिसमें पाठ शायद ही कभी दिखाई देता है, लेकिन अगर कुछ जाता है, तो आप इसे तुरंत पकड़ सकते हैं। उदाहरण के लिए, हाल ही में एक डीएचसीपी पूल समाप्त होना शुरू हुआ, और मुझे तुरंत इस बारे में पता चला जब मैंने कंसोल में डीएचसीपी (डोमेन नियंत्रक पर खड़े) से एक संदेश देखा कि डीएचसीपी-पूल 90% भरा हुआ है, और दो से तीन दिनों में काम नहीं आ रहा है। और यह सीखना कि कोई व्यक्ति नेट पर नहीं आ सकता।

इसके अलावा, उपयोगिता आपको डेटाबेस को उन घटनाओं को लिखने की अनुमति देती है जिन्हें मैं स्टोर करना चाहता हूं और किसी तरह प्रक्रिया करता हूं।
उदाहरण के लिए, हाल ही में वहाँ (एक हब पर) जंगली एसएनएमपी छलांग के साथ किसने क्या छपा, इसके आंकड़े कैसे बनाए जाएं, इस पर एक लेख था। मेरे मामले में, यह मामूली समस्या केंद्रीकृत लॉगिंग के समग्र हल करने के कार्य का हिस्सा है, अगर प्रिंटर सर्वर से जुड़ा हुआ है और साझा किया जाता है, और उस पर जो छपा है उसका लॉगिंग सिर्फ हल नहीं है, बल्कि पूरी तरह से हल किया गया है। दरअसल, लॉग में, पृष्ठों और आईपी पतों की संख्या के अलावा, यह लिखा है:

- कौन मुद्रित (लॉगिन)
- दस्तावेज़ का नाम

और यह सामान्य कॉर्पोरेट आँकड़े हैं, और खाली संख्या नहीं है, और यह डेटाबेस में बसता है, जहां महीने के अंत से मैं इच्छुक लोगों को एक विस्तृत रिपोर्ट देता हूं जो सिर्फ यह देखने के लिए खुश हैं कि कौन, क्या, कहाँ, कब और कितना है।

वास्तव में यह सब मैं इस बारे में कहना चाहता था। ई-मेल और एसएमएस द्वारा घटनाओं की सूचना देने की संभावना के बारे में आगे रैंटिंग पर सेट करना संभव होगा, लेकिन मुझे लगता है कि यह विषय पहले से ही अतिश्योक्तिपूर्ण है। मैं एक मिश्रित वातावरण में प्रशासन के सबसे सामान्य कार्यों में से एक को हल करने के लिए एक तंत्र और उपकरण का वर्णन करना चाहता था, और मुझे लगता है कि मैं इसे पूरी तरह से करने में सक्षम था। आपके ध्यान के लिए धन्यवाद और अगर आप इस जगह पर पढ़ते हैं।