Graylog安裝使用

準備

Java

$ sudo yum install java-1.8.0-openjdk-headless.x86_64

---

安裝MongoDB

$ sudo vim /etc/yum.repos.d/mongodb-org-3.2.repo

添加如下內容：

[mongodb-org-3.2]
name=MongoDB Repository
baseurl=https://repo.mongodb.org/yum/redhat/$releasever/mongodb-org/3.2/x86_64/
gpgcheck=1
enabled=1
gpgkey=https://www.mongodb.org/static/pgp/server-3.2.asc

保存文件並退出編輯。
執行命令：

$ sudo yum install mongodb-org

啓動服務：

$ sudo chkconfig --add mongod
$ sudo systemctl daemon-reload
$ sudo systemctl enable mongod.service
$ sudo systemctl start mongod.service

---

安裝Elasticsearch

$ sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch

$ sudo vim /etc/yum.repos.d/elasticsearch.repo

添加如下內容：

[elasticsearch-5.x]
name=Elasticsearch repository for 5.x packages
baseurl=https://artifacts.elastic.co/packages/5.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md

保存文件並退出編輯。

$ sudo yum install elasticsearch

更改elasticsearch配置文件：

$ sudo vim /etc/elasticsearch/elasticsearch.yml

將cluster name設置成graylog，並去掉改行前面的#：

cluster.name: graylog

啓動服務：

$ sudo chkconfig --add elasticsearch
$ sudo systemctl daemon-reload
$ sudo systemctl enable elasticsearch.service
$ sudo systemctl restart elasticsearch.service

---

安裝Graylog

$ sudo rpm -Uvh https://packages.graylog2.org/repo/packages/graylog-2.3-repository_latest.rpm
$ sudo yum install graylog-server

編輯配置文件 /etc/graylog/server/server.conf 添加 password_secret 、root_password_sha2，執行如下命令，將結果添加到分別添加到配置文件對應的部分。

$ sudo yum install pwgen
$ pwgen -N 1 -s 96

執行$ sudo yum install pwgen若出現以下的問題：

[vagrant@graylogNode1 ~]$ sudo yum install pwgen
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
 * base: mirrors.sohu.com
 * extras: mirrors.sohu.com
 * updates: mirrors.sohu.com
No package pwgen available.
Error: Nothing to do

解決辦法：執行$ sudo yum install epel-release，然後再執行$ sudo yum install pwgen。
將結果添加到 配置文件的password_secret 部分。

$ echo -n 123456 | sha256sum

將結果添加到配置文件的 root_password_sha2 部分。
啓動服務：

$ sudo chkconfig --add graylog-server
$ sudo systemctl daemon-reload
$ sudo systemctl enable graylog-server.service
$ sudo systemctl start graylog-server.service

至此，graylog web已經安裝完成，訪問http://localhost:9000即可看到web界面。

---

後端Graylog side-car安裝

版本對應：

Sidecar version	Graylog server version
0.0.9	2.1.x
0.1.x	2.2.x,2.3.x

Graylog默認支持Beats 和NXlog，以下介紹其安裝方法。

Beats backend

Ubuntu
Beats二進制文件（Filebeat和Winlogeventbeat）包含在Sidecar軟件包中。所以只需使用如下命令安裝：

$ sudo dpkg -i collector-sidecar_0.0.9-1_amd64.deb

編輯配置文件/etc/graylog/collector-sidecar/collector_sidecar.yml，配置Graylog server URL 、tags，tag用於定義接收哪個主機的配置。
創建系統服務並啓動：

$ sudo graylog-collector-sidecar -service install

[Ubuntu 14.04 with Upstart]
$ sudo start collector-sidecar

[Ubuntu 16.04 with Systemd]
$ sudo systemctl start collector-sidecar

CentOS
使用RPM包安裝：

$ sudo rpm -i collector-sidecar-0.0.9-1.x86_64.rpm

Sidecar作爲系統服務啓動：

$ sudo graylog-collector-sidecar -service install 
$ sudo systemctl start collector-sidecar

NXLog backend

Ubuntu
下載相應的安裝包nxlog，由於Sidecar要控制NXlog 的啓動和停止，因此必須停止NXlog的所有運行實例並解除配置默認系統服務。之後我們可以安裝和設置Sidecar：

$ sudo /etc/init.d/nxlog stop 
$ sudo update-rc.d -f nxlog remove 
$ sudo gpasswd -a nxlog adm 
$ sudo chown -R nxlog.nxlog / var / spool / collector-sidecar / nxlog 

$ sudo dpkg -i collector-sidecar_0.0.9-1_amd64.deb

編輯/etc/graylog/collector-sidecar/collector_sidecar.yml並註冊Sidecar作爲服務：

$ sudo graylog-collector-sidecar -service install

[Ubuntu 14.04 with Upstart]
$ sudo start collector-sidecar

[Ubuntu 16.04 with Systemd]
$ sudo systemctl start collector-sidecar

CentOS
下載相應的安裝包安裝並啓動服務：

$ wget https://nxlog.co/system/files/products/files/348/nxlog-ce-2.9.1716-1_rhel7.x86_64.rpm
$ sudo yum localinstall nxlog-ce-2.9.1716-1_rhel7.x86_64.rpm -y
$ sudo service nxlog start

執行如下的命令操作，配置graylog控制nxlog：

$ sudo service nxlog stop
$ sudo chkconfig --del nxlog
$ sudo gpasswd -a nxlog root
$ sudo chown -R nxlog.nxlog /var/spool/collector-sidecar/nxlog

$ sudo rpm -i collector-sidecar-0.0.9-1.x86_64.rpm

Sidecar作爲系統服務啓動：

$ sudo graylog-collector-sidecar -service install
$ sudo systemctl start collector-sidecar

配置

配置文件所在位置：/etc/graylog/collector-sidecar/collector_sidecar.yml
Filebeat配置示例：

server_url: http://192.168.93.128:9000/api/
update_interval: 30
tls_skip_verify: true
send_status: true
list_log_files:
node_id: graylog-collector-sidecar
collector_id: file:/etc/graylog/collector-sidecar/collector-id
cache_path: /var/cache/graylog/collector-sidecar
log_path: /var/log/graylog/collector-sidecar
log_rotation_time: 86400
log_max_age: 604800
tags:
    - linux
    - apache
backends:
    - name: filebeat
      enabled: true
      binary_path: /usr/bin/filebeat
      configuration_path: /etc/graylog/collector-sidecar/generated/filebeat.yml

NXlog 配置示例：

server_url: http://192.168.93.128:9000/api/
update_interval: 30
tls_skip_verify: true
send_status: true
list_log_files:
  - /var/log
node_id: graylog-collector-sidecar
collector_id: file:/etc/graylog/collector-sidecar/collector-id
log_path: /var/log/graylog/collector-sidecar
log_rotation_time: 86400
log_max_age: 604800
tags:
  - linux
  - apache
backends:
    - name: nxlog
      enabled: true
      binary_path: /usr/bin/nxlog
      configuration_path: /etc/graylog/collector-sidecar/generated/nxlog.conf

初次啓動

system	command
Debian/Ubuntu	sudo start collector-sidecar
RedHat/CentOS	sudo systemctl start collector-sidecar
Windows	C:\Program Files\graylog\collector-sidecar\graylog-collector-sidecar.exe -service start

初次啓動後，會有以下問題：

INFO[0006] [RequestConfiguration] No configuration found for configured tags!

這只是意味着沒有與Sidecar啓動時的配置相同標籤。所以我們必須創建一個新的配置，定義輸出和輸入並標記它以收集日誌文件。

Web界面配置Step-by-step guide

以下簡單介紹下Apache日誌、系統日誌的採集。
收集Apache日誌
1. 創建一個Beats input用於接收收集器發送的數據，點擊“System->Inputs”並創建一個監聽在0.0.0.0:5044的全局Beats input。

![](http://upload-images.jianshu.io/upload_images/4059546-9a4d7fb512d42cb9.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)

1. 收集器配置，點擊“System->Collectors->Manage configurations”進行配置。

2. 創建新的配置文件。

3. 填寫配置名稱，點擊“Save”按鈕保存。

4. 點擊剛剛創建的配置，配置Beats output，點擊“Save”保存。

5. 配置Beats intput用於收集Apache訪問日誌，點擊“Save”保存。

6. 爲配置打上tag。

7. 查看收集到的Apache日誌。

收集系統日誌
使用rsyslog轉發系統日誌配置：
UDP：

*.* @graylog.example.org:514;RSYSLOG_SyslogProtocol23Format

TCP：

*.*@@graylog.example.org:514;RSYSLOG_SyslogProtocol23Format

如果您使用的是不提供內置RSYSLOG_SyslogProtocol23Format模板的rsyslog（rsyslog 5.10之前的版本）的舊版本，則可以創建自定義消息模板。
上面的UDP示例變成：

$template GRAYLOGRFC5424,"<%PRI%>%PROTOCOL-VERSION% %TIMESTAMP:::date-rfc3339% %HOSTNAME% %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%\n"
*.* @graylog.example.org:514;GRAYLOGRFC5424

本次使用 TCP 配置，具體步驟如下。

1. 在 /etc/rsyslog.d目錄下創建文件graylog.conf，寫入配置並保存：

   $ vim /etc/rsyslog.d/graylog.conf

   寫入如下內容：

   *.* @@localhost:5140;RSYSLOG_SyslogProtocol23Format

   註解
   此處使用514端口時會出現權限的問題，因此換用5140端口，web界面配置時使用的端口應該與其一致。

2. 重啓rsyslog服務：

   $ sudo service rsyslog restart

3. web界面創建System TCP input:

4. 填寫配置，點擊“Save”按鈕保存：

5. 完成的配置如下圖所示，處於running狀態：

6. 查看收集到的系統日誌：

---

告警配置

1. 編輯graylog配置文件：

   $ vim /etc/graylog/server.conf

   添加如下smtp配置內容：

   
   # Email transporttransport_email_enabled = truetransport_email_hostname = smtp.163.com
   
   transport_email_port = 25
   transport_email_use_auth = true
   transport_email_use_tls = false
   transport_email_use_ssl = false
   transport_email_auth_username = [email protected]
   transport_email_auth_password = xiao*******
   
   #transport_email_subject_prefix = [graylog]
   
   transport_email_from_email = [email protected]
   transport_email_web_interface_url = http://localhost:9000

   保存修改並退出編輯。

2. 配置通知：
   點擊“Alerts->Manage notifications”

   點擊“Add new notification”

   添加notification，如下圖

   點擊“Test”測試通知是否配置正確

3. 配置觸發條件：
   點擊“Alerts->Manage conditions”

   點擊“Add new condition”

   添加condition，如下圖
   

至此，一個簡單的告警配置已經完成。
上述告警示例表示當5分鐘內接收到的日誌消息超過10條的時候，發送告警通知給郵箱 [email protected]。
收到的告警通知郵件如下圖：