https://xinux.net/index.php?action=history&feed=atom&title=Erkl%C3%A4rung_rsyslog_Netz 2026-08-27T09:10:06Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://xinux.net/index.php?title=Erkl%C3%A4rung_rsyslog_Netz&diff=73096&oldid=prev 2026-08-27T06:21:13Z

<p>Die Seite wurde neu angelegt: „=== Zeile für Zeile === ; &lt;code&gt;module(load=&quot;imudp&quot;)&lt;/code&gt; : Lädt das Eingangsmodul für UDP. Das Modul wird nur einmal geladen, unabhängig davon, wie vie…“</p> <p><b>Neue Seite</b></p><div>=== Zeile für Zeile ===<br /> <br /> ; &lt;code&gt;module(load=&quot;imudp&quot;)&lt;/code&gt;<br /> : Lädt das Eingangsmodul für UDP. Das Modul wird nur einmal geladen, unabhängig davon, wie viele Ports später geöffnet werden.<br /> <br /> ; &lt;code&gt;input(type=&quot;imudp&quot; port=&quot;514&quot;)&lt;/code&gt;<br /> : Öffnet den UDP-Port 514 (der klassische Syslog-Port). UDP ist verbindungslos: schnell und ressourcenschonend, aber Meldungen können bei Last oder Paketverlust verlorengehen.<br /> <br /> ; &lt;code&gt;module(load=&quot;imtcp&quot;)&lt;/code&gt; / &lt;code&gt;input(type=&quot;imtcp&quot; port=&quot;514&quot;)&lt;/code&gt;<br /> : Dasselbe für TCP. TCP quittiert die Übertragung, Meldungen gehen also nicht einfach verloren. UDP und TCP dürfen gleichzeitig auf Port 514 lauschen, weil es zwei getrennte Protokolle sind.<br /> <br /> ; &lt;code&gt;$template FernLog,&quot;/var/log/hosts/%HOSTNAME%/%PROGRAMNAME%.log&quot;&lt;/code&gt;<br /> : Definiert eine Vorlage für den Dateinamen. Die Prozentzeichen sind Platzhalter für Eigenschaften der jeweiligen Meldung:<br /> :* &lt;code&gt;%HOSTNAME%&lt;/code&gt; – der Name des sendenden Rechners, wie er '''in der Meldung''' steht<br /> :* &lt;code&gt;%PROGRAMNAME%&lt;/code&gt; – der Dienst, der die Meldung erzeugt hat (z.&amp;nbsp;B. &lt;code&gt;sshd&lt;/code&gt;, &lt;code&gt;sudo&lt;/code&gt;, &lt;code&gt;kernel&lt;/code&gt;)<br /> : Aus einer sshd-Meldung von &lt;code&gt;web01&lt;/code&gt; wird damit &lt;code&gt;/var/log/hosts/web01/sshd.log&lt;/code&gt;. Fehlende Verzeichnisse legt rsyslog selbst an (&lt;code&gt;$CreateDirs&lt;/code&gt; ist standardmäßig aktiv).<br /> <br /> ; &lt;code&gt;:fromhost-ip, !isequal, &quot;127.0.0.1&quot; ?FernLog&lt;/code&gt;<br /> : Ein Property-Filter. Er prüft die Eigenschaft &lt;code&gt;fromhost-ip&lt;/code&gt;, also die IP-Adresse, von der das Paket tatsächlich kam. Trifft der Vergleich „ist '''nicht''' 127.0.0.1“ zu, wird die Meldung über die Vorlage weggeschrieben. Das &lt;code&gt;?&lt;/code&gt; vor dem Namen bedeutet: dynamischer Dateiname aus einem Template (ein &lt;code&gt;/&lt;/code&gt; stünde für eine feste Datei).<br /> : Lokal erzeugte Meldungen haben immer &lt;code&gt;127.0.0.1&lt;/code&gt; und fallen deshalb durch – sie landen weiter in den üblichen lokalen Logdateien.<br /> <br /> ; &lt;code&gt;&amp; stop&lt;/code&gt;<br /> : Das &lt;code&gt;&amp;&lt;/code&gt; hängt eine weitere Aktion an '''denselben''' Filter an, die Bedingung wird also nicht wiederholt. &lt;code&gt;stop&lt;/code&gt; beendet die Verarbeitung dieser Meldung. Ohne diese Zeile würden die Fremd-Meldungen zusätzlich in &lt;code&gt;/var/log/syslog&lt;/code&gt; bzw. &lt;code&gt;/var/log/messages&lt;/code&gt; laufen und dort alles vermischen.<br /> <br /> === Hinweise für die Praxis ===<br /> <br /> * '''Reihenfolge beachten:''' Dateien in &lt;code&gt;/etc/rsyslog.d/&lt;/code&gt; werden alphabetisch eingelesen. Die Konfiguration muss vor den Standardregeln greifen, also z.&amp;nbsp;B. als &lt;code&gt;/etc/rsyslog.d/10-remote.conf&lt;/code&gt;.<br /> * '''Firewall:''' Port 514/udp und 514/tcp müssen freigegeben sein.<br /> * '''%HOSTNAME% ist Inhalt der Meldung''' und damit fälschbar. Wer die Trennung fest an die Herkunft binden will, nimmt &lt;code&gt;%FROMHOST-IP%&lt;/code&gt; im Template.<br /> * '''Keine Authentisierung, keine Verschlüsselung.''' Plain-Syslog auf 514 gehört nur ins vertrauenswürdige Netz. Für den produktiven Einsatz: RELP (&lt;code&gt;imrelp&lt;/code&gt;) oder Syslog über TLS.<br /> * '''Alte und neue Syntax gemischt:''' &lt;code&gt;$template&lt;/code&gt; und der &lt;code&gt;:filter&lt;/code&gt; sind Legacy-Schreibweise, funktionieren aber weiterhin. Modern wäre &lt;code&gt;template(name=&quot;FernLog&quot; type=&quot;string&quot; string=&quot;…&quot;)&lt;/code&gt; zusammen mit &lt;code&gt;action(type=&quot;omfile&quot; dynaFile=&quot;FernLog&quot;)&lt;/code&gt;.<br /> * '''Logrotation:''' Für &lt;code&gt;/var/log/hosts/*/*.log&lt;/code&gt; eine eigene logrotate-Regel anlegen, sonst wächst das Verzeichnis unbegrenzt.</div>

Thomas.will