Система Syslog

Система Syslog имеется во всех разновидностях Unix. В основе системы лежит демон syslogd, который принимает поступающие журнальные сообщения и обрабатывает их в соответствии с инструкциями, содержащимися в файле /etc/syslog.conf. Журнальные сообщения генерируются программами, демоном и ядром. Это относится к большинству внутренних системных утилит, в частности, к подсистемам электронной почты и печати, а также к внешним программам, таким как TCP_Wrappers и SSH.

Рис. 14.1. Механизм распространения журнальных сообщений

В терминологии системы Syslog программные компоненты, генерирующие сообщения, называются средствами. Каждое сообщение имеет определенный уровень важности. В файле /etc/syslog.conf указано, как обрабатывать сообщения в зависимости от типа средства и уровня важности: записывать в файл, направлять в другую систему, посылать пользователю или игнорировать.

Конфигурация Syslog

Записи файла /etc/syslog.conf имеют следующий синтаксис:

средство.уровень действие

Пустые строки, а также строки, начинающиеся с символа #, игнорируются. Поле средство.уровень, называемое селектором, должно отделяться от поля действие хотя бы одним знаком табуляции.

Каждому демону, каждой программе и системной утилите соответствует определенное средство. Например, демоны inetd, telnetd и ftpd регистрируют свои сообщения от имени средства daemon. Средство по умолчанию – user. Разрешается задавать список средств, разделенных запятыми. Например, запись вида

daemon,lpr,mail.crit

соответствует всем сообщениям уровня crit (и выше) от средств daemon, lpr и mail.

Таблица 14.1.

Уровни важности Syslog

Допустимые уровни важности перечислены в Таблице 1 в порядке убывания.

Если в файле /etc/syslog.conf указан конкретный уровень, то подразумеваются сообщения этого и всех более высоких уровней. Например, селектору user.info соответствуют сообщения, регистрируемые от имени средства user на уровнях info, notice, warning, err, crit, alert и emerg. Для указания конкретных уровней предназначены специальные операторы! и =. В частности, выражению

user.=info

соответствуют только сообщения уровня info. Выражение

*.info;mail.!=info;user.none

означает, что регистрируются сообщения всех средств уровня info и выше, кроме средств mail и user. Для средства mail запрашиваются сообщения уровня notice и выше. Сообщения от средства user игнорируются.

Благодаря поддержке именованных каналов можно перехватывать определенные сообщения и дополнительно обрабатывать их, например, посылать письмо по электронной почте или генерировать Web-страницу.

Вызов демона syslogd

Демон syslogd запускается из сценария /etc/rc.d/init.d/syslog на уровне выполнения 2. По умолчанию не указывается никаких опций, но для правильной настройки системы Syslog могут понадобиться два флага: -r и –h.

Флаг –r используется при наличии сервера журнальной регистрации. По умолчанию демон syslogd не принимает сообщения от удаленных систем. Если указан флаг –r, демон будет ожидать поступления UDP-пактов через порт 514. Перед записью сообщения к нему добавляется имя удаленного компьютера. Если в файле /etc/syslog.conf не указано, как обрабатывать сообщение, оно игнорируется.

Если нужно, чтобы сервер журнальной регистрации сам пересылал сообщения, необходимо задать флаг –h. По умолчанию демон syslogd игнорирует записи файла /etc/syslog.conf, которые заставляют его пересылать сообщения из одной удаленной системы в другую.

После модификации файла /etc/syslog.conf необходимо сообщить демону syslogd об изменениях, послав ему сигнал HUP. Проще всего сделать это командой killall –HUP syslogd. Она заставит демон повторно прочитать свой конфигурационный файл. Если в файле /etc/syslog.conf указан новый журнальный файл, то после получения сигнала HUP этот файл будет создан.

Поиск по сайту: