Graylog kullanımı örnekleri (1)

Splunk’un aşırı yüksek lisans ve EPS maliyetleri nedeniyle uzun zamandır ihtiyaçlarımı görecek bir log yönetim yazılımı arıyordum. Aradığım yazılım yüksek hızda indeksleme yapabilmeli, performansı Splunk’ı aratmamalı, yani aslında Splunk’ın ücretsiz hali gibi bir şey olmalıydı. Çıtayı Splunk seviyesinden koyarak doğru mu belirliyoruz bu seviyeyi emim değilim ama net olan şu, Splunk  malesef fazla pahalı. Splunk Light ile $75 / ay fiyatlı daha düşük kapasiteli bir ürün ile bu dezavantajı kapatmaya çalışıyorlar ancak fiyat / EPS / depolama kapasitesinin yaratacağı sıkıntılar nedeniyle ben Türkiye pazarında Splunk Light’ın tutunacağına inanmıyorum. O nedenle bu seçenek de benim için ihtimal dışı.

Diğer yandan da kabul etmek lazım ki, Splunk iyi bir ürün. Belki de endüstri standartı oldu. VMware’in de ürünü kendisine entegre etmesi bunun bir göstergesi. Vazgeçmemek adına ücretsiz halini kullanmak istesek bile, olaylarda eposta gönderimi yapma özelliğinin kapalı olması büyük handikap. Bu imkanı göz ardı ederek yine de Splunk kullanırım ! diyenlere ancak hitap ediyor bu haliyle. Ben ise malesef ihtiyaçlarımı listelediğimde olaylar karşısında eposta ile uyarı iletme özelliğinden vazgeçemiyorum.

Elasticsearch tabanlı Logstash/ Kibana ve Graylog ikilisini bu anlamda bir süredir takip ediyor ve deniyorum. Bugün bunlardan Graylog hakkındaki düşüncelerimi yazmaya çalışacağım. Graylog’u 0.80 sürümünden bu yana takip ediyorum. O dönemlerde kurulumu da daha zordu, kullanımı da. Oysa ki 1.0.x sürümleriyle birlikte gerçekten olgunlaştı. Küçük sanal Linux sunucuları üzerinde bile çalıştırır ve yönetebilir hale geldim. Şu an bir müşterimdeki tüm VMware ESX sunucuları, VMware Horizon View sunucuları ve Hitachi HUS storageları bu yazılım üzerinden izliyorum..

Günde yaklaşık 1 milyon satır log topluyorum. 8 GB RAM / 50 GB diski olan bir Centos 6.x sunucuda takır takır çalışıyor.

Syslog deyince tabi irkilenler olabilir. Malum üreticilerin çoğu RFC 'lere uygun syslog üretmiyorlar. Bu nedenle de Graylog gibi yazılımların bunu anlaması zor olabiliyor. Nitekim ESX 5.x sunucularından gelen syslog'u Graylog anlamakta ve yerleştirmekte sorun yaşadı. Biraz araştırmak zorunda kaldım ama doğru Rsyslog şablonunu yazınca bu sorun da çözüldü.

Yaşanan başka bir sorun da (aşılması güç değil) Mongo DB ile oluyor. Cache loglarının diski doldurmasını engellemek için küçük log ayarına dönmek yeterli oluyor.

En rahat çalıştığım loglardan biri de VMware Horizon View logları oldu. Doğru şablonla çalışınca bu loglar da sisteme rahatça alındı ve yapılandırıldı.

Şimdilik memnunum. Uzun zamandir kullanıyorum ancak bu kadar olgunlaşmasını beklemek iyi oldu bu konu hakkında yazmaya başlamak için sanırım. Doğru zamanlama. İzlenimlerimi paylaşmaya devam edeceğim.

VMware ESX'ten Splunk'a log yönlendirmek.

VMware ESX sunucularından Splunk'a nasıl log yönlendirilebileceğine dair bir çalışma yaptım. Yordam aşağıdaki gibidir.

 yordamla, ESX'ten sysloga düşen tüm mesajlar ve host hareketleri Splunk'a yönlendirilmektedir.

(ESX sunucusunda)

# vi /etc/syslog.conf
            *.*             @splunksunucusu.domain.local
# esxcfg-firewall -o 514,udp,out,syslog && esxcfg-firewall -l
# vi /etc/vmware/hostd/config.xml
                 
                outputToConsole>true
                 
olarak değiştirilmeli ve kayıt edilmelidir.

# service mgmt-vmware restart

Mutluyuz, basit ve temiz iş. Bu arada Splunk'tan çok memnunum, ona dair izlenimlerimi daha sonra yazmayı planlıyorum.

/usr/lib/security/audit_binfile.so.1 retry all partitions full

Solaris 10 sunucusunda Solaris audit (auditd) loglarını sysloga yönlendirme testleri yapıyordum. Konfig dosyasını değiştirdikten sonra audit servisini yeniden açtım. Testten sonra kapamıştım ve bir süredir kapalıydı. Ama o ne ?


/usr/lib/security/audit_binfile.so.1 retry all partitions full This message has been displayed 4 times.


mesajı geliyor servisten her logladığı komut için.


Sorun şu ; audit loglarını yönlendirdiğim klasörü silmişim. Sistem boşu boşuna bu klasörü arıyor konfig dosyasının içinden okuyarak. 


Klasörü yeniden açınca sorun kalmadı. Ancak hala istediğim sonucu elde edemedim. Onun da bilgisini ve detayını sonra yazacağım.

Solaris 10, başka syslog sunucusuna yönlendirmek

İster inanın , ister inanmayın ; Google'da Solaris 10 sunucusunun sysloglarını başka bir sunucuya yönlendirmeyle ilgili bilgi aradığınızda ilk 3-5 sayfada dişe dokunur bir bilgi gelmiyor.


Bu aslında Internet'in bize sağladığı mı diyelim yoksa başımıza sardığı mı ; ciddi bir üşengeçlik ve araştırmacı ruh zehirlemesi.


Bu bilgi zaten /etc/syslog.conf içinde duruyor. :) Ah Google...


Biraz daha işe yarar bilgi ekteki blogda var.


http://woss.name/2007/06/17/solaris-logging-to-a-separate-loghost-the-easy-way/


Örnek konfig aşağıda ;


user.debug                                              ifdef(`LOGHOST', /var/log/syslog.user, @loghost)
kern.info                                               ifdef(`LOGHOST', /var/log/syslog.kernel, @loghost)
daemon.info                                             ifdef(`LOGHOST', /var/log/syslog.daemon, @loghost)
auth.info                                               ifdef(`LOGHOST', /var/log/syslog.auth, @loghost)
cron.info                                               ifdef(`LOGHOST', /var/log/syslog.cron, @loghost)
audit.info                                              ifdef(`LOGHOST', /var/log/syslog.audit, @loghost)