rsyslog是linux自带的日志软件，也可以收集本机和其他设备的syslog日志；

loganalyzer是一个日志查看系统，基于lamp平台。

但是我安装完后查看时，日志内容刷新反映很慢，不知到是什么原因。

环境

rsyslog+loganalyzer服务器:CentOS6.7mini IP地址：10.1.1.199

设备：防火墙 10.3.2.1/10.1.1.1

交换机 192.168.2.2/192.168.0.2

服务器 windows2008r2ip地址：10.1.1.200

注意：我这里CentOS已经关闭了iptable和selinux。

service iptable stop ##关闭防火墙

chkconfig iptable off ##设置开机不启动防火墙

setenforce 0 ##可以临时关闭，但重启之后还是会变成原来的状态。

##修改/etc/sysconfig/selinux文件可以永久地禁用它。

一、安装lamp

• # yum �y install httpd PHP* sql*

• # service httpd start

• # chkconfig httpd on

• # service MysqLd start

• # chkconfig MysqLd on

• # MysqLadmin �uroot password ‘abc123’

• #cd/var/www/html/

• #cat>index.PHP<<EOF

• ><?PHP

• >PHPinfo()

• >?>

• >EOF

@H_502_157@打开浏览器访问http://10.1.1.199/ 查看能否显示PHP信息

@H_502_157@二、安装rsyslog连接MysqL数据库的模块

• #yuminstallrsyslog--MysqL�y

@H_502_157@rsyslog系统默认安装，可以用 rpm -qa| grep rsyslog 查看是否安装。

@H_502_157@rsyslog--MysqL为rsyslog将日志传送到MysqL数据库的一个模块，这里必须安装。

@H_502_157@

@H_502_157@导入rsyslog-MysqL数据库文件

• #cd/usr/share/doc/rsyslog-MysqL-5.8.10/

• #MysqL-uroot-pabc123<createDB.sql

@H_502_157@查看导入是否成功

• # MysqL �uroot �pabc123

• MysqL> show databases; ##显示所有库

• MysqL> use Syslog; ##使用库 Syslog

• MysqL> show tables; ##显示当前库的表

• MysqL> select * from SystemEvents; ##显示表SystemEvents中的所有数据，

表会显示结果空，但我头一次实验时，提示

的却是“库损坏，请修复”

创建rsyslog用户在MysqL下的相关权限

• MysqL>grant all on Syslog.* to rsyslog@localhost identified by ‘123456‘;

• MysqL>flushprivileges;

• MysqL>exit;

  
  

@H_502_157@

@H_502_157@三、配置服务端支持rsyslog-MysqL模块

@H_502_157@

• #vi/etc/rsyslog.conf

@H_502_157@在####MODULES####下添加上面两行，意思为将rsyslog连接到数据库。

• $ModLoadomMysqL

• *.*:omMysqL:localhost,Syslog,rsyslog,123456

@H_502_157@

@H_502_157@说明：*.*表示导入所有日志文件(调试完成以后可以根据自己的需求配置）。

@H_502_157@ localhost表示本地主机，Syslog为数据库名，rsyslog为数据库的用户，123456为该 用户密码。

@H_502_157@开启相关日志模块，将各行头的#删除即可。

@H_502_157@$ModLoadimmark ##immark是模块名，支持日志标记

@H_502_157@$ModLoadimudp ##imupd是模块名，支持udp协议

@H_502_157@$UDPServerRun514 ##允许514端口接收使用UDP和TCP协议转发过来的日志

保存退出后重启rsyslog服务

#/etc/init.d/rsyslogrestart

四、配置设备（先配置一个做测试用）

将交换机、防火墙上的日志主机地址填上10.1.1.199，端口为514.

然后查看MysqL中是否有数据

• # MysqL �uroot �pabc123

• MysqL> show databases;

• MysqL> use Syslog;

• MysqL> show tables;

• MysqL> select * from SystemEvents; ##显示表SystemEvents中的所有数据，

  如果正常，会有数据显示。

注意：如果能显示数据，则正常。否则查看一下网络是否通畅，防火墙和selinux是否关闭等问题。最好查看一次后重启，重新查看。正常后继续。

五、配置loganalyzer

(未完待续)