Ich habe also ein paar Server, die ich zentral anmelden möchte, aber natürlich möchte ich die Daten nicht unsicher über das Internet übertragen.
Ich habe syslog-ng ausprobiert, kann es aber nicht auf sichere Weise zum ssh -L PORT:localhost:PORT user@hostLaufen bringen. Ein normaler SSH-Tunnel funktioniert nicht, da die Protokolle meines Erachtens vom lokalen Computer stammen und ein VPN ein wenig übertrieben zu sein scheint .
Antworten:
Haben Sie Syslog-ng und Stunnel ausprobiert?
HINWEIS:
Stunnel ( http://www.stunnel.org ) ist ein Programm, mit dem Sie beliebige TCP-Verbindungen innerhalb von SSL (Secure Sockets Layer) verschlüsseln können, das sowohl unter Unix als auch unter Windows verfügbar ist. Mit Stunnel können Sie nicht SSL-fähige Daemons und Protokolle (wie POP, IMAP, LDAP usw.) sichern, indem Stunnel die Verschlüsselung bereitstellt, ohne dass Änderungen am Code des Daemons erforderlich sind.
Kurze Antwort: VPN
Es mag übertrieben erscheinen, aber es ist die richtige Antwort und nicht so kompliziert einzurichten.
Rsyslog kann dies tun. Verschlüsseln des Syslog-Verkehrs mit TLS
Sie können sich auch den kostenlosen Kiwi Secure Tunnel unter http://www.solarwinds.com/products/kiwi_syslog_server/related_tools.aspx ansehen
Verwenden Sie syslog-ng oder einen anderen Syslog-Daemon, der TCP unterstützt.
Senden Sie die Daten über einen verschlüsselten Tunnel. Verwenden Sie keinen SSH-Tunnel, es ist zu umständlich.
UDP-Syslog ist ein Protokoll, das in der Vergangenheit einen Gehirnschaden erlitten hat und das längst hätte beseitigt werden müssen. Wenn Ihr Anbieter dies standardmäßig anbietet, stützen Sie sich bitte darauf.
Wenn Ihr Anbieter keine Syslog-Lösung zur Verfügung stellt, die jede Nachricht vor dem Senden signiert, verlassen Sie sich auf diese.
Die Software ist einfach, die Algorithmen sind einfach. Die Politik, es standardmäßig installieren zu lassen, ist es nicht.
Ich würde wahrscheinlich nicht in erster Linie Protokolldaten über das Internet senden, sondern an den erforderlichen Stellen einen zentralen Protokollhost installieren.
In diesen Tagen bevorzuge ich rsyslog gegenüber syslog-ng. Der Austausch ist nahezu abgeschlossen und es gibt eine Vielzahl von Dokumenten und Anleitungen, einschließlich einer Anleitung zum Senden von verschlüsselten Daten mit TLS / SSL (ab Version 3.19.0). Ältere Versionen können weiterhin stunnel verwenden .
Nach meiner Erfahrung mit rsyslog und syslog-ng überzeugt rsyslog durch einfache Konfigurierbarkeit, zumal Sie Ihre vorhandene syslog.conf verwenden und diese erweitern können.
Rsyslog ist der Standard-Syslog-Daemon unter Debian Lenny (5.0), Ubuntu und Fedora .
Ich benutze rsyslog mit tls. Es gibt einige Vorbereitungsarbeiten außerhalb des gültigen Bereichs: Bereitstellen einer lokalen Zertifizierungsstelle, Hinzufügen des Zertifizierungsstellenzertifikats zu jedem Host, Generieren individueller Zertifikate für jeden Host. (Jetzt können alle Ihre Hosts SSL miteinander sprechen.)
Ich musste auch rsyslog-gnutls installieren:
sudo apt-get install rsyslog-gnutls
Ich habe auch die ausgehende Syslog-Verbindung eingeschränkt (TCP 514), sodass meine Hosts nur eine Verbindung zu meinem Syslog-Server herstellen können, und habe eine eingehende Whitelist auf der Seite des Syslog-Servers erstellt, sodass nur meine Hosts eine Verbindung herstellen können.
in /etc/rsyslog.conf
# make gtls driver the default
$DefaultNetstreamDriver gtls
# certificate files
$DefaultNetstreamDriverCAFile /etc/my_keys/internal_CA.crt
$DefaultNetstreamDriverCertFile /etc/my_keys/my_hostname.crt
$DefaultNetstreamDriverKeyFile /etc/my_keys/my_hostname.key
$ActionSendStreamDriverAuthMode x509/name
$ActionSendStreamDriverPermittedPeer my_syslog_server.com
$ActionSendStreamDriverMode 1 # run driver in TLS-only mode
*.* @@my_syslog_server.com:514 # forward everything to remote server
Es sieht so aus, als ob die Konfiguration für syslog-ng noch einfacher ist. (obwohl ich das nicht ausprobiert habe) syslog-ng /etc/syslog-ng/conf.d/99-graylog2.conf
destination remote-server {
tcp ("my_syslog_server.com" port(514)
tls(ca_dir("/etc/my_keys/"))
);
};