Почему syslog-ng усекает вывод? - PullRequest
Новая
       67

Почему syslog-ng усекает вывод?

0 голосов
/ 08 ноября 2019

Я отправляю syslog с брандмауэра на syslog-ng 3.5.6, который работает на сервере CentOS 7. Я могу просматривать журналы, поступающие через tcpdump, и все выглядит хорошо. Однако, как только syslog-ng обрабатывает журналы и отправляет их в выходной файл, они усекаются. У меня есть другие источники системного журнала, которые не усечены.

Вот пример tcpdump: 

192.168.1.1.10002 > 192.168.2.1.514: SYSLOG, length: 694
        Facility authpriv (10), Severity notice (5)
        Msg: 1 2019-11-08T19:30:08 192.168.1.1 CP-GW - Log [Fields@1.3.6.1.4.1.2620 Action="accept" UUid="{0x5dc5c542}" rule="117" rule_uid="{C94E97R1}" rule_name="Test" src="192.168.1.38" dst="192.168.160.1" proto="17" user="test administrator (test_administrator)(+)Jtest.Administrator (FI) @ TEST - TEST - TEST (Jtest_administrator)(+)Testl.Administ..." src_user_name="test administrator (test_administrator)(+)Jtest.Administrator (FN) @ TEST - TEST - TEST (Jtest_administrator)(+)Testl.Administ..." src_machine_name="TEST@TEST.TEST.com" snid="76d73747" product="VPN-1 & FireWall-1" service="53" s_port="64642" product_family="Network"]
19:30:09.083410 IP (tos 0x0, ttl 55, id 0, offset 0, flags [DF], proto UDP (17), length 722)

Вот как выглядит выходной файл: 

Nov  8 19:30:08 192.168.1.1 CP-GW:

Вот файл syslog-ng conf.d: 

destination d_c2 {
  file ("/var/log/fw-test/${SOURCEIP}/${C_YEAR}-${C_MONTH}-${C_DAY}T${C_HOUR}.log"
    owner(root) group(splunk)
    perm(0755) dir_perm(0755)
    create_dirs(yes)
  );
};

filter f_c2 {
  netmask(192.168.1.1);
};

log {
  source(s_udp514);
  filter(f_c2);
  destination(d_c2);
};

И раздел параметров syslog-ng.conf: 

options {
    flush_lines (100);
    time_reopen (10);
    log_fifo_size (1000);
    chain_hostnames (yes);
    use_dns (no);
    use_fqdn (no);
    create_dirs (no);
    keep_hostname (yes);
    log-msg-size(1048576);
};

Есть идеи, почему вывод усекается?

Заранее спасибо

1 Ответ

0 голосов
/ 12 ноября 2019

Это правильное поведение, поскольку ваше сообщение не содержит ничего, кроме заголовка и структурированных данных.

Ввод в формате системного журнала IETF (RFC 5424): 

SYSLOG-MSG = HEADER SP STRUCTURED-DATA [SP MSG]
HEADER = PRI VERSION SP ISOTIMESTAMP SP HOSTNAME SP APP-NAME SP PROCID SP MSGID

MSG здесь необязательно, и в вашем случае оно пустое: 

1 2019-11-08T19:30:08 192.168.1.1 CP-GW - Log [Fields@1.3.6.1.4.1.2620 Action="accept" UUid="{0x5dc5c542}" rule="117" rule_uid="{C94E97R1}" rule_name="Test" src="192.168.1.38" dst="192.168.160.1" proto="17" user="test administrator (test_administrator)(+)Jtest.Administrator (FI) @ TEST - TEST - TEST (Jtest_administrator)(+)Testl.Administ..." src_user_name="test administrator (test_administrator)(+)Jtest.Administrator (FN) @ TEST - TEST - TEST (Jtest_administrator)(+)Testl.Administ..." src_machine_name="TEST@TEST.TEST.com" snid="76d73747" product="VPN-1 & FireWall-1" service="53" s_port="64642" product_family="Network"] here would come the message body

Выходные данные представлены в старом формате системного журнала BSD (RFC 3164), они не содержат структурированных данных: 

Nov  8 19:30:08 192.168.1.1 CP-GW:

Вы можете избежать потери информации sdata, создав шаблон, содержащий все важные поля, или используя другой выходной формат, например, исходный формат системного журнала IETF: 

file ("/var/log/fw-test/${SOURCEIP}/${C_YEAR}-${C_MONTH}-${C_DAY}T${C_HOUR}.log"
  owner(root) group(splunk) perm(0755) dir_perm(0755) create_dirs(yes)
  flags(syslog-protocol)
);
...