Simple Log Service:Kumpulkan Syslog dari sistem Linux

Cara kerja

Pada server Linux, Anda dapat mengonfigurasi agen Syslog, seperti rsyslog, untuk meneruskan data Syslog lokal ke alamat IP dan port tertentu. Logtail mendengarkan pada alamat dan port tersebut, menerima data melalui TCP atau UDP, lalu menguraikannya berdasarkan protokol Syslog yang ditentukan. Logtail kemudian mengekstrak bidang-bidang seperti facility, tag (program), severity, dan konten dari log tersebut.

Syslog mendukung protokol yang didefinisikan dalam RFC 3164 dan RFC 5424.

Prosedur

Topik ini menggunakan instance ECS sebagai contoh untuk menunjukkan cara mengumpulkan Syslog.

1. Masuk ke Konsol Simple Log Service.

2. Di bagian Import Data, pilih Custom Data Plug-in.

3. Pilih proyek dan logstore, lalu klik Next.

4. Buat kelompok mesin.

   • Jika kelompok mesin sudah tersedia, klik Use Existing Machine Groups.

   • Jika belum ada kelompok mesin, lakukan langkah-langkah berikut untuk membuat kelompok mesin. Dalam contoh ini, digunakan instance Elastic Compute Service (ECS).

     1. Pada tab ECS Instance, pilih Manually Select Instances. Lalu, pilih instance ECS yang ingin digunakan dan klik Create.

        Untuk informasi selengkapnya, lihat Instal Logtail pada instance ECS.

        Penting

        Jika server Anda adalah instance ECS yang termasuk dalam Akun Alibaba Cloud yang berbeda dari Simple Log Service, server di pusat data, atau server dari penyedia layanan cloud pihak ketiga, Anda harus menginstal Logtail secara manual pada server tersebut. Untuk informasi selengkapnya, lihat Instal Logtail pada server Linux atau Instal Logtail pada server Windows. Setelah menginstal Logtail secara manual, Anda harus mengonfigurasi pengenal pengguna untuk server tersebut. Untuk informasi selengkapnya, lihat Konfigurasikan pengenal pengguna.

     2. Setelah mengonfirmasi pengaturan, klik OK.

     3. Setelah Logtail terinstal, klik Complete Installation.

     4. Pada langkah Create Machine Group, konfigurasi parameter Name, lalu klik Next.

        Simple Log Service memungkinkan Anda membuat kelompok mesin berbasis alamat IP dan kelompok mesin berbasis pengenal kustom. Untuk informasi selengkapnya, lihat Buat kelompok mesin berbasis alamat IP dan Buat kelompok mesin berbasis pengenal kustom.

5. Konfirmasi bahwa kelompok mesin ditampilkan di bagian Applied Server Groups, lalu klik Next.

   Penting

   Jika Anda menerapkan kelompok mesin segera setelah membuatnya, status heartbeat kelompok mesin mungkin FAIL. Masalah ini terjadi karena kelompok mesin belum terhubung ke Simple Log Service. Untuk mengatasinya, Anda dapat mengklik Automatic Retry. Jika masalah tetap berlanjut, lihat Apa yang harus saya lakukan jika tidak ada koneksi heartbeat yang terdeteksi pada Logtail?

6. Pada tab Configure Data Source, atur Configuration Name, salin dan tempel skrip berikut ke dalam bidang Plug-in Configuration, lalu klik Next.

   {
        "inputs": [
            {
                "type": "service_syslog",
                "detail": {
                    "Address": "tcp://0.0.0.0:9000",
                    "ParseProtocol": "rfc3164"
                }
            },
            {
                "type": "service_syslog",
                "detail": {
                    "Address": "udp://0.0.0.0:9001",
                    "ParseProtocol": "rfc3164"
                }
            }
        ]
    }

   Tabel berikut menjelaskan parameter-parameter dalam skrip tersebut.

   Parameter	Tipe	Wajib	Deskripsi
   type	string	Ya	Tipe sumber data. Tetapkan nilainya ke service_syslog.
   Address	string	Tidak	Protokol, alamat, dan port tempat Logtail mendengarkan. Nilainya dalam format [tcp/udp]://[ip]:[port]. Jika Anda tidak mengonfigurasi parameter ini, Logtail secara default menggunakan tcp://127.0.0.1:9999 dan hanya menerima log yang diteruskan dari server lokal. Catatan Protokol, alamat, dan nomor port yang ditentukan dalam konfigurasi Logtail harus sesuai dengan aturan pengalihan dalam file konfigurasi rsyslog Anda. Jika server tempat Logtail diinstal memiliki beberapa alamat IP yang dapat menerima log, Anda dapat mengatur alamat menjadi 0.0.0.0 agar mendengarkan pada semua alamat IP server tersebut.
   ParseProtocol	string	Tidak	Protokol yang digunakan Logtail untuk mengurai log. Jika dibiarkan kosong (nilai default), log tidak diurai. Nilai yang valid: Kosong: Log tidak diurai. rfc3164: Log diurai menggunakan protokol RFC 3164. rfc5424: Log diurai menggunakan protokol RFC 5424. auto: Protokol yang sesuai dipilih secara otomatis berdasarkan konten log.
   IgnoreParseFailure	boolean	Tidak	Menentukan tindakan yang diambil jika penguraian log gagal. Nilai default adalah true, yang berarti melewati penguraian dan menulis log mentah ke bidang content. Jika Anda menetapkan parameter ini ke false, Logtail akan membuang log tersebut jika penguraian gagal.

7. Pada tab Query and Analysis Configurations, klik Automatic Index Generation. Saat ini belum ada data yang dikumpulkan. Klik Next untuk menyelesaikan konfigurasi Logtail.

8. Masuk ke instance ECS yang menghasilkan Syslog, lalu konfigurasi penerusan rsyslog.

   1. Pada server tempat Syslog dihasilkan, ubah file konfigurasi rsyslog di /etc/rsyslog.conf dan tambahkan aturan pengalihan di akhir file.

      Setelah menambahkan aturan pengalihan, rsyslog akan meneruskan Syslog ke alamat IP dan port yang ditentukan.

      • Jika Anda mengumpulkan Syslog dari server yang sama tempat Logtail berjalan, atur alamat pengalihan ke 127.0.0.1 dan gunakan port yang sama seperti yang ditentukan dalam konfigurasi Logtail Anda.

      • Jika Anda mengumpulkan Syslog dari server remote, atur alamat pengalihan ke Alamat IP publik server tempat Logtail berjalan dan gunakan port yang sama seperti yang ditentukan dalam konfigurasi Logtail Anda.

      Sebagai contoh, konfigurasi berikut meneruskan semua log ke 127.0.0.1:9000 melalui TCP. Untuk informasi lebih lanjut tentang file konfigurasi, lihat dokumentasi RSyslog.

      *.* @@127.0.0.1:9000

   2. Jalankan perintah berikut untuk merestart rsyslog agar aturan pengalihan berlaku.

      sudo service rsyslog restart

9. Buka Konsol Simple Log Service untuk melihat data Syslog yang telah dikumpulkan di Logstore tujuan. Untuk informasi selengkapnya, lihat Panduan Cepat untuk Kueri dan Analisis.

Bidang log

Contoh lainnya

Troubleshooting

Jika tidak ada data yang muncul di halaman pratinjau atau halaman kueri setelah Anda mengonfigurasi Logtail, Anda dapat menjalankan perintah logger untuk mengirim data ke instance Logtail lokal. Hal ini membantu menentukan apakah masalah berasal dari sumber data, jaringan, atau Logtail.

Jika instance Logtail lokal menerima data, kemungkinan besar masalah berasal dari sumber data atau jaringan.

logger -n localhost -P 9000 -T "This is a TCP syslog message"
logger -n localhost -P 9001 -d "This is a UDP syslog message"

Untuk informasi pemecahan masalah lebih lanjut, lihat Memecahkan Masalah Kegagalan Pengumpulan Log Logtail.