System- und Netzwerkmanagement

Transkript

1 System- und Netzwerkmanagement Protokollierung mit Syslog-NG Markus Müller ( ) Sven Nissel ( ) Roman Pyro ( ) Christian Fehmer ( )

2 Versuchsaufbau - Übersicht

3 Syslog Konfiguration Client Für die Syslog Konfiguration haben wir fünf Mechanismen in den Konfigurationsdateien benutzt source filter template destiantion log

4 Konfiguration - source Die Quelle der Logging Nachrichten wird im Client nicht verändert. Dadurch werden vorhandene Konfigurationen nicht gestört. source s_all { internal(); unix-stream("/dev/log"); };

5 Konfiguration - filter Ein Filter soll dafür sorgen, dass nur relevante Nachrichten behandelt werden Dazu wird mit Hilfe eines regulären Ausdrucks nach Programmen gefiltert, die mit einer bestimmten Kennung beginnen filter f_cpu{ program("^cpu ^PRC ^DSU**"); };

6 Konfiguration - template Ein Template gibt das Format einer Nachricht vor. Jedes Template kann beim Speichern oder Verschicken einer Nachricht benutzt werden. template t_log{ template("[$program] $DAY.$MONTH.$YEAR $HOUR:$MIN:$SEC $@$FULLHOST: $MSGONLY\n"); };

7 Konfiguration - destination Angabe des Zielortes der Nachrichten. Hier kann ein Rechner im Netzwerk oder eine Datei angegeben werden. Es kann ein Template für die Umformatierung einer Nachricht genutzt werden. destination d_tcp_server { tcp(" " template(t_log)); file("/var/log/test.log" template(t_log)); };

8 Konfiguration - log Log verbindet Source und Destination über einen oder mehrere Filter miteinander. Ohne den log - Eintrag würden Source und Destination nicht berücksichtigt. log{ source(s_all); filter(f_cpu); destination(d_tcp_server); };

9 Syslog Konfiguration - Server Der syslog Server ist nach einem ähnlichen Prinzip wie der Client aufgebaut. Es werden Nachrichten empfangen, gefiltert, formatiert und gespeichert. Die Nachrichten vom Client nimmt der Server über TCP entgegen. source s_net { tcp(); };

10 Syslog Konfiguration - Server Zum Aufteilen der Nachrichten wurde für jedes Programm ein Filter erstellt filter f_dsu { match("^\\[dsu"); }; Die Festplattenbelegung wird über eine Pipe an den DSUactor geschickt und in eine Datei geschrieben. destination d_dsu { file("/var/log/dsu.log" template("$msg\n")); pipe("/root/dsuactor.pipe"); };

11 cpuwatch.sh Die Watcher Ermitteln der CPU Auslastung der letzen Minute, der letzten 5 und 15 Minuten Senden mit logger -t CPU prcwatch.sh Ermitteln der laufenden Prozesse inklusive Status Senden mit logger -t PRC <Daten> dsuwatch.sh Ermitteln des freien Speichers pro Partition in % Senden je Partition mit logger -t DSU <Daten>

12 cpuwatch.sh #!/bin/sh cat /proc/loadavg cut -d " " -f1-3 logger -t CPU Ausgabe von cat /proc/loadavg: / Auswahl der ersten 3 Felder mit Leerzeichen als Trennung / Ergebnis wird an logger -t CPU gepiped

13 #!/bin/sh top -bn1 grep Tasks logger -t PRC prcwatch.sh top -bn1 listet alle laufenden Prozesse auf. Die Parameter -bn1 starten den Top-Befehl im Batchmode und veranlasst das Beenden des Programms nach der ersten Iteration. Mit grep Tasks selektieren wir die für uns interessante Zeile mit dem Inhalt Tasks Ergebnis Tasks: 38 total... wird an logger -t CPU gepiped.

14 dsuwatch.sh #!/bin/sh df -m awk '/sda/ {print $1,"=",$5}' cut -d"%" -f1 logger -t DSU Ausgabe df -m: Filesystem 1M-blocks Used Available Use% Mounted on /dev/sda % / awk '/sda/' selektiert Zeilen die sda enthalten. {print $1,"=",$5} zerlegt die Zeile in Spalten und gibt die erste ($1) und fünfte ($5) mit einem = verbunden aus. Durch cut -d wird das % abgeschnitten. Ergebnis /dev/sda1 = 27 wird an logger -t CPU gepiped

15 Öffne pipe dsuactor.pipe while(true)do Einlesen von der Pipe Ermitteln des Prozentwertes val if (val>grenzwert) filestream an Programm --> mail -s \"LOW DISK SPACE\" root Sende Nachricht an filestream fi end DSUActor DSUActor wird als Daemon gestartet und fragt in Endlosschleife die named Pipe ab. Bei einer Eingabe wird Überprüft, ob der gegebene Grenzwert überschritten wurde und dann eine Mail an den Administrator gesendet.

16 Testfälle 1.Senden von einer nicht authorisierten IP 2.Senden von einem nicht bekannten Programm 3.Loggen der Prozesse 4.Loggen der CPU 5.Loggen der Disk mit überschrittenen Grenzwert 6.Loggen der Disk mit nicht erreichten Grenzwert 7.Zyklisches Loggen beobachten.

17 TC1: Unauthorisietes Senden Ändern der IP des fertig konfigurierten Clients ifconfig eth Aufruf von logger -t CPU TEST von nicht authorisierter IP Ergebnis: Portmapper blockiert den Request Syslog-Client kann die Nachricht nicht zustellen Nachricht wird aber in einer Queue gespeichert und nach dem Ändern der IP korrekt zugestellt syslog-ng: :ALLOW ALL:ALL:DENY

18 TC2: Unbekanntes Programm Aufruf von logger -t TEST foo auf dem Client Ergebnis: Nachricht wird an den Syslog übergeben und im Message-Log gelogged Nachricht wird aufgrund des Filters nicht an den Server gesendet. filter f_cpu{ program("^cpu ^PRC ^DSU**"); }; log{ }; source(s_all); filter(f_cpu); destination(d_tcp_server);

19 TC3: Anzahl d. Prozesse Aufruf des Watcherscriptes prcwatch.sh impliziert logger -t PRC <daten> Ergebnis: Nachricht wird vom Client formatiert und übertragen Server logged Nachricht im prc.log [PRC] Tasks: 42 total, 1 running, 41 sleeping, 0 stopped, 0 zombie

20 TC4: CPU-Auslastung Aufruf des Watcherscriptes cpuwatch.sh impliziert logger -t CPU <daten> Ergebnis: Nachricht wird vom Client formatiert und übertragen Server logged Nachricht im cpu.log [CPU]

21 TC5: Diskusage >= Grenzwert Aufruf logger -t DSU /dev/sda1 = 95 Ergebnis: Nachricht wird vom Client formatiert und übertragen Server schreibt Nachricht in named pipe und in dsu.log Dsuactor ließt named pipe und verschickt Abruf des Mailkontos zeigt die Warnmail [DSU] /dev/sda1 = 95 --> Mail: To: root@snma2-server.bavw.de Subject: LOW DISK SPACE From: root <root@snma2-server.bavw.de> Jun 11 13:29: [DSU] /dev/sda1 = 95

22 TC6: Diskusage < Grenzwert Aufruf logger -t DSU /dev/sda1 = 27 Ergebnis: Nachricht wird vom Client formatiert und übertragen Server schreibt Nachricht in named pipe und dsu.log Dsuactor ließt named pipe, verschickt keine Mail Abruf des Mailkontos, keine neue Nachricht [DSU] /dev/sda1 = 27

23 Überwachen Logfiles tail -f /var/log/cpu.log Ergebnis: TC7: Zyklisches Senden Cron startet die Watcher auf dem Client Server schreibt die Nachrichten in die Logfiles [CPU] [DSU] /dev/sda1 = 27 [PRC] Tasks: 42 total, 1 running, 41 sleeping, 0 stopped, 0 zombie

24 Zum Schluss Zum Schluss noch 2 Elementare Dinge zum mit nach Hause nehmen Feuer Wasser

25 ...und danke für den Fisch Vielen Dank für die Aufmerksamkeit.