Настройка Syslog-ng на внешнюю работу.

подожди подожди, не показывай конфиг и логи, я сейчас сам обо всём догадаюсь

Конфиг использую тот, который находится в выше указанной ссылке. Какие логи скинуть?

а ip-адрес в s_source ты какой указал ?

source s_remote { udp (ip («0.0.0.0») port (514)); };
0.0.0.0 как я понял, принимать логи с любого ip-адреса.
Слушает ли Syslog-ng 514 порт, проверяю командой: netstat -ltp
Но в результате выполнения команды netstat -ltp упоминания про syslog-ng нет.

Слушает ли Syslog-ng 514 порт, проверяю командой: netstat -ltp
Но в результате выполнения команды netstat -ltp упоминания про syslog-ng нет.

а если netstat -ltpnu

(без u netstat UDP не показывает, а у тебя source s_remote { udp (ip («0.0.0.0») port (514)); }; )

Вывод netstat -ltpnu следующий: Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 1773/master tcp 0 0 0.0.0.0:3306 0.0.0.0:* LISTEN 1784/mysqld tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1231/sshd tcp6 0 0 ::1:25 :::* LISTEN 1773/master tcp6 0 0 :::80 :::* LISTEN 1218/httpd tcp6 0 0 :::22 :::* LISTEN 1231/sshd udp 0 0 0.0.0.0:5353 0.0.0.0:* 477/avahi-daemon: r udp 0 0 0.0.0.0:33280 0.0.0.0:* 477/avahi-daemon: r udp 0 0 0.0.0.0:514 0.0.0.0:* 6745/syslog-ng Но по udp портам нет не какого статуса. Это нормально?

0.0.0.0 как я понял, принимать логи с любого ip-адреса.

Нет. Демона вешать на все интерфейсы.

Но по udp портам нет не какого статуса. Это нормально?

да

Для доступа по 514 порту понадобилось разрешить порты в firewall командами:
firewall-cmd --zone=public --add-port=514/tcp --permanent firewall-cmd --zone=public --add-port=514/udp --permanent И перезапустить firewall командой:
firewall-cmd --reload
Вместо 0.0.0.0 я использую ip сервера на котором установлен syslog-ng: 192.168.1.18
source s_sys { system(); internal(); udp (ip (192.168.1.18) port(514)); udp (ip (192.168.1.18) port(514)); }; Могу ли я как-то проверить доступ из сети по 514 порту по протоколу udp. Например telnet'ом или ещё каким нибудь способом?

или ещё каким нибудь способом ?

Настроить отправку на сервер у другого syslog

А как я узнаю по какому протоколу Syslon-ng примет сообщение, по tcp или по udp?

Так ты же будешь знать, по какому отправил. Кроме того, твой syslog tcp не слушает, как показал netstat. Ну и tcpdump никто не отменял.

нетстат показывает 514 порт только на UDP....придется догадаться с одного раза... :)

В качестве источника я использую:
source s_sys { system(); internal(); tcp (ip (192.168.1.18) port(514)); udp (ip (192.168.1.18) port(514)); };

В качестве источника я использую:

Это ты в качестве приёмника используешь, во-первых, а, во-вторых, netstat это не показывает. Или ты это недавно переделал ?

Добавил сравнительно недавно.
netstat эти настройки показывает.
Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 1773/master tcp 0 0 192.168.1.18:514 0.0.0.0:* LISTEN 11034/syslog-ng tcp 0 0 0.0.0.0:3306 0.0.0.0:* LISTEN 1784/mysqld tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1231/sshd tcp6 0 0 ::1:25 :::* LISTEN 1773/master tcp6 0 0 :::80 :::* LISTEN 1218/httpd tcp6 0 0 :::22 :::* LISTEN 1231/sshd udp 0 0 0.0.0.0:5353 0.0.0.0:* 477/avahi-daemon: r udp 0 0 0.0.0.0:33280 0.0.0.0:* 477/avahi-daemon: r udp 0 0 192.168.1.18:514 0.0.0.0:* 11034/syslog-ng Просто я не смог подключится через telnet на 514 порт, когда открывал 514 порт только по протоколу upd. Не могу понять принимаются ли сообщения по этому протоколу или нет. Как можно это проверить?
И второе, у меня логи пишутся в файл:
destination r_syslog {file("/var/log/servers/$HOST/$YEAR/$MONTH/$DAY/syslog"}; Мне нужно настроить запись в БД для дальнейшего просмотра логов через kibana

Просто я не смог подключится через telnet на 514 порт, когда
открывал 514 порт только по протоколу upd.

1. А с чего бы утилите telnet использовать udp ?
2. Кто, вообще, сказал, что syslog, даже слушающий tcp, должен на попытку соединения telnet-ом что-то выдать ?

Как можно это проверить ?

Читать, что было написано выше по проводу проверки настроек источника и tcpdump.

должен на попытку соединения telnet-ом что-то выдать ?

Хотя, на самом деле, текст в tcp-шный порт, действительно, ловит.

У меня работает со следующими настройками:

        create_dirs (yes);
        dir_group(logusers);
        dir_perm(0750);

### remote logs
#

source s_net { udp(ip(0.0.0.0) port(514)); };

destination d_net {
   file( "/var/log/remote/$HOST/$HOST.$FACILITY.log" template("$DATE $FACILITY $MESSAGE\n") template_escape(off) perm(0640) group(logusers) );
   };

log { source(s_net); destination(d_net); };

С протоколами пока всё понятно. telnet действительно использует только tcp протокол.
Второй вопрос остаётся в силе:
У меня логи пишутся в файл:
destination r_syslog {file("/var/log/servers/$HOST/$YEAR/$MONTH/$DAY/syslog"}; Мне нужно настроить запись в БД для дальнейшего просмотра логов через kibana
Как это сделать?