配置日志服务器
实验环境：
●Linux 系统（Redhat5.X、Cent OS 6、Fedora 6）
●Unix 系统（FreeBSD 5.0以后）
●Windows 系统（Window XP/server）
●IMP系统（172.18.4.75）
主要介绍Linux、Unix、Windows系统下如何搭建中央日志服务器系统和客户端日志发送配置。
Linux---Cent OS 6.3-Release 版本
---适用于（Redhat5.X、Cent OS 6、Fedora 6）
Unix采用Freebsd 8.1版本
---适用于（FreeBSD 5.0以后）
Windows 采用windows 7/server版本
---适用于windows XP/server系列
Syslog（系统日志）日志系统是最主流的系统日志记录。
由于与Linux 平台之间的渊源，Syslog是在实际应用环境中最容易获得的日志系统。
同时，还有很多的基于Syslog的扩展产品存在，这其中也包括大量基于UNIX平台构建内核的网络硬件设备，这些设备往往都内置了Syslog功能支持，例如Cisco 路由器就是如此。
一、Linux系统日志服务器服务端/客户端设置
版本：Cent OS 6.3-Release
IP ：172.18.4.65
●配置rsyslog主配置文件
rsyslog是Linux系统默认的日志守护进程。
默认的syslog配置文件是/et c/rsyslog.conf文件。
Rsyslog的规则定义格式如下：
●Facility
Facility（设备）是指定日志的类型，可以是一个或者多个设备均可。
多个设备间分开符‘；’。
下表是大部分linux系统支持的设备类型和相应的序列号
* 通配符代表除了 mark 以外的所有功能，除mark为内部使用外，还有securi ty为一个旧的key定义，等同于auth，已经不再建议使用
Level
Level（优先级）是选择条件的第二个字段，它代表消息的紧急程度。
* 代表所有级别
定义level级别的时候，需要注意两点：
1）优先级是由应用程序在编程的时候已经决定的，除非修改源码再编译，否则不能改变消息的优先级；
2）低的优先级包含高优先级，例如，为某个应用程序定义info的日志导向，则涵盖notice、warning、err、crit、alert、emerg等消息。
（除非使用=号定义）
Selector选择条件
Selector指的是facility与level之间的小数点符号“.”。
可以使用分号“;”同时定义多个选择条件。
Rsyslog允许人们使用三种限定符对优先级进行修饰：星号（*）、等号（=）和叹号（!）。
星号（*）的含义是“把本项服务生成的所有日志消息都发送到操作动作指定的地点”。
就像它在规则表达式里的作用一样，星号代表“任何东西”。
在前面给出的例子里，“mail.*”将把所有优先级的消息都发送到操作动作指定的/ var/log/mail文件里。
使用“*” 限定符与使用“debug”优先级的效果完全一样，后者也将把所有类型的消息发送到指定地点。
等号（=）的含义是“只把本项服务生成的本优先级的日志消息都发送到操作动作指定的地点”。
比如说，可以用“=”限定符只发送调试消息而不发送其他更紧急的消息（这将为应用程序减轻很多负担）。
当你只需要发送特定优先级别的消息时，就要使用等号限定符。
叹号（!）的含义是“把本项服务生成的所有日志消息都发送到操作动作指定的地点，但本优先级的消息不包括在内”。
比如说，这条syslog配置行将把除info优先级以外的所有消息发送到/var/log/mail文件里：
mail.*;mail.!info /var/log/mail
在这个例子里，“mail.*”将发送所有的消息，但“mail.!info”却把inf o优先级的消息排除在外。
就像它在编程时的用法一样，叹号意味着“非”。
action动作
由前面选择条件定义的日志信息，可执行下面的动作：
File －指定日志文件的绝对路径
terminal 或 print －发送到串行或并行设备标志符，例如/dev/ttyS2
@host －远程的日志服务器
username －发送信息本机的指定用户信息窗口中，但该用户必须已经登陆到系统中
named pipe －发送到预先使用 mkfifo 命令来创建的 FIFO 文件的绝对路径
!!※注意，不能通过“|/var/xxx.sh”方式导向日志到其他脚本中处理
Linux服务器端设置
1.安装日志服务器组件
[root ~]yum install syslog
2.修改配置文件
[root ~]vi /etc/sysconfig/rsyslog
把SYSLOGD_OPTIONS改为SYSLOGD_OPTIONS="-r-x-m0"
详解:
-r ：开启接收远程主机日志信息功能，其监控514 UDP端口；（后来我们会更改为1514）
-x ：关闭自动解析对方日志服务器的FQDN信息，这能避免DNS不完整所带来的麻烦；
-m ：修改syslog的内部mark消息写入间隔时间（0为关闭），例如240为每隔240分钟写入一次“--MARK--”信息；
-h ：默认情况下，syslog不会发送从远端接受过来的消息到其他主机，而使用该选项，则把该开关打开，所有接受到的信息都可根据syslog.conf中定义的@主机转发过去。
3.指定日志服务器的接收端口：默认514，这里设置1514
[root ~]vi /etc/rsyslog.conf
注释掉如下行，并修改端口
4.添加防火墙规则，添加如下行
[root ~]vi /etc/sysconfig/iptbales 添加如下规则
5.重启防火墙（重启防火墙后可以关闭防火墙）
[root ~]service iptables restart
6.重启日志服务器
[root ~]service rsyslog restart
此时一个完整的Linux中央日志服务器就设置完毕了,它可以接受来自外来主机的日志信息,下面配置客户机如何发送本机的日志信息到该服务器.
Linux客户机端设置
客户机想要发送本机日志信息，只需要开启rsyslog服务，然后设置接收服务器的地址信息即可。
[root ~]vi /etc/rsyslog.conf
*.* @172.18.4.75:1514 (使用UDP协议发送)
*.* @@172.18.4.75:1514（使用TCP协议发送，更可靠）
windows系统生成syslog报文
Windows系统日志的格式不相同,因此保存系统日志时,需要统一日志的格式并上传到SYSLOG服务器.(IMP系统集成了日志服务器功能)
根据操作系统的位数,划分32和64位.相应的日志上传工具也分为两个版本.
Evtsys_4.1.0_32-Bit 6 Evtsys_4.1.0_64-Bit
下载对应的软件压缩包后解压
1.将其中的evtsys.dll和evtsys.exe文件一起复制到C:/windows/system32
2.以管理员身份运行CMD(命令提示符)
3.执行：evtsys –i –h 172.18.
4.105(syslog服务器地址) –p 1514
evtsys –i –h 172.18.4.105 –p 1514
注意！！
默认情况下可以不指定‘-P 1514‘,此时系统默认的端口为514.因IMP系统指定的端口为
1514，所以这里必须指定‘-P 1514’，否则IMP系统无法接收到该主机的日志信息。
(PS:本机已经启动了evtsys服务，未开启服务的机器执行上面的命令即可)
4.服务启动后，便可以在SYSLOG服务器(IMP)上查看到相应的系统信息
命令解释：
1.启动服务：net start evtsys
2.停止服务：net stop evtsys
3.关联SYSLOG服务器：evtsys -i -h ip
-i 表示安装成系统服务
-h 表示指定log服务器的IP地址
4.卸载服务：evtsys –u evtsys（需要先将evtsys服务停止）。
