Урок за Syslog

Основната причина за работа в мрежа е комуникацията. Докато се свързва мрежата, ключови съобщения трябва да се предават между мрежовите устройства, за да се проследяват събитията при тяхното възникване. Като системен администратор или служител на Developer Operations (DevOps), проследяването на текущите дейности в мрежата е много важно и е много полезно за решаване на проблеми, когато изобщо се появят.

Методът на регистриране в повечето случаи се счита за трудоемък или стресиращ. В крайна сметка усилията обикновено си заслужават. Въпреки това, с syslog, целият този стрес е намален, тъй като бихте могли да автоматизирате процеса на регистриране.Всичко, което просто трябва да направите, е да прегледате дневниците, когато възникне проблем, и да се справите с проблемите, както показват дневниците.

Syslog е известен стандарт за регистриране на съобщения. Повечето пъти системата, която прави регистрацията, и софтуерът, който ги генерира, са склонни да се намесват по време на процесите. Но syslog помага да се отдели софтуерът, генериращ регистрационните файлове, от системата, която съхранява дневниците, като по този начин прави процеса на регистриране по-малко сложен и стресиращ.

С други думи, syslog е отворена система, предназначена да помага за наблюдение на мрежови устройства или системи и изпращане на събития до сървър за регистриране. Той гарантира, че съобщенията се разграничават въз основа на приоритета на съобщенията и вида на мрежовото устройство, което изпраща съобщението.

Освен че помага за генерирането и съхраняването на регистрационни файлове, той може да се използва и за одит на сигурността, както и за общ анализ и отстраняване на грешки на системните съобщения.

Стандартът syslog е достъпен за използване в различни мрежови устройства като рутери, суичове, балансиращи натоварване, системи за защита от проникване и т.н. чрез използване на User Datagram Protocol на порт 514 за комуникация на съобщения до сървърите за регистриране.

Съобщението в syslog следва или протокола legacy-syslog или BSD-syslog и приема следния формат:

• Секция за съобщения за PRI
• Раздел за съобщения HEADER
• Раздел СЪОБЩЕНИЯ

Съобщението в системния дневник никога не може да премине 1024 байта.

Секция за PRI съобщение

PRI е известен също като част от приоритетната стойност на съобщението в syslog и припомнете по-рано, че говорих за syslog изпращане на съобщения в дневниците според нивото на приоритет, а също и типа мрежово устройство или съоръжение, ето къде се показва цялата тази информация. Тази част представлява раздела за съоръжения и сериозност на съобщението в syslog.

Приоритетната стойност се получава чрез изчисляване на произведението на номера на съоръжението (частта от системата, изпращаща съобщението) по 8 и след това добавяне на числовата стойност на тежестта (това е нивото на важност на съобщението според системата.

Приоритетна стойност = (Номер на съоръжението * 8) + Тежест

Раздел за съобщения HEADER

Докато частта PRI беше по-скоро за системата, заглавната част е повече за информацията, която идва със събитието на syslog.

Той съдържа клеймото за време на съобщението, името на хоста или IP адреса на системата. Форматът на полето за клеймо е:

MM dd hh: mm: ss

Където:

ММ е месецът, в който syslog е изпратен като съкращение. Това означава, че месецът идва под формата на януари, февруари, март, април и т.н.

дд е денят от месеца, в който е изпратено съобщението. Когато денят не е двуцифрен, стойността се представя с интервал и числото вместо 0 и числото. Това означава, че „7“ се използва за изобразяване на 7 вместо „07“.

hh е часът от деня, в който е изпратено съобщението, като се използва 24-часовият формат на времето. Със стойности между 00 и 23, с 00 и 23 включително.

mm е минутата от часа, когато съобщението е изпратено. Със стойности между 00 и 59, с 59 включително.

ss е втората от минутата, когато съобщението е изпратено. Със стойности между 00 и 59, с 59 включително.

Пример за горното е:

8 март 22:30:15

Раздел СЪОБЩЕНИЯ

В повечето случаи се намира цялата необходима информация. Той съдържа името на програмата, процеса, довел до генерирането на съобщението и текста на самото съобщение.

Съобщението обикновено е във формат: програма [pid]: текст_съобщение.

Пример:

По-долу е примерно съобщение в системния журнал: <133>25 февруари 14:09:07 уеб сървър syslogd: рестартирайте. Съобщението отговаря на следния формат: клеймо за име на хост приложение: съобщение.

В крайна сметка, след генерирането на съобщението, анализирането му е различна игра с топка. Можете да анализирате системния дневник с помощта на език за програмиране като python, използвайки регулярни изрази, използвайки xml парсер и можете също да анализирате с помощта на json. Анализатор на журнали като syslog-ng работи перфектно с Python. Тя ви позволява да напишете свой собствен парсер в python, позволявайки много повече контрол върху потенциалите за синтактичен анализ.

Python е много популярен за изтриване на данни, така че лесно можете да намерите модули за бракуване на необходимите данни от syslog, което улеснява обработката на съобщения, заявки към бази данни и т.н. Ако възнамерявате да използвате syslog-ng, можете да получите конфигурационния файл на OSE и да го включите във файла.

Трябва обаче да се уверите, че променливата на средата PYTHON_PATH включва пътя към файла Python и след това експортирате променливата на средата PYTHON_PATH.

Например:

износ PYTHONPATH = / opt / syslog-ng / и т.н

Обектът Python се инициира само веднъж, когато syslog-ng OSE се стартира или презареди. Това означава, че запазва състоянието на вътрешните променливи, докато syslog-ng OSE работи. Анализаторите на Python се състоят от две части. Първият е syslog-ng OSE обект на анализатор, който използвате във вашата syslog-ng OSE конфигурация, например в регистрационния път.

Този анализатор се позовава на клас Python, който е втората част на анализаторите на Python. Класът Python обработва лог съобщенията, които получава, и може да прави практически всичко, което можете да кодирате в Python.

парсер python (class (""));; python клас за импортиране MyParser (обект): def init (самостоятелно, опции):" По избор. Този метод се изпълнява при стартиране или презареждане на syslog-ng."return True def deinit (self):" По избор. Този метод се изпълнява, когато syslog-ng е спрян или презареден."return True def parse (self, msg):" Задължително. Този метод получава и обработва регистрационното съобщение."върнете True; 

Когато най-накрая стигнете до синтактичен анализ на вашия syslog файл, можете да предприемете действия по тези проблеми, които са създавали проблеми.

Повечето пъти бихте намерили пътищата до директориите, в които се крие проблемът, така че можете лесно да навигирате в директориите, като използвате командата “cd”.

С syslog можете да спестите повече време и да подобрите ефективността.