Knowledge WiKibase

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
{{htmlmetatags>metatag-keywords=(MikroTik,сбор логов, MikroTik logs,syslog,syslog-ng,rsyslog,Raspberry Pi OS 11 bullseye,debian bullseye,raspberry pi 4 model b,логи,лог-файлы,журналы,IETF-syslog,bsd-syslog,logrotate,ротация логов, логи микротик,микротик,raspberry pi,pi 4 model b) 
metatag-description=(Сохранение журналов MikroTik и отправка нужных строк на электронную почту.)}}

====== Сбор и отправка логов MikroTik с syslog-ng ======

Устройства MikroTik всем хороши и это особенно хорошо, когда их много! А если много, то и проблем может быть чуть больше, чем хотелось бы, а лазить по разным железкам и смотреть там логи, это не вариант. А если еще какая-то железка куда-то из сети пропала...

О, кстати, еще есть нюанс -- Микротик не умеет из коробки отправлять интересные строки логов на почту((Конечно, скрипты нам в помощь, но это не торт.))!

===== Настройка MikroTik =====

Тут все до жути банально -- добавляем действие, причем, я предпочитаю использовать разные категории -- к примеру, "local6" для роутеров, а "local7" для антенн.

Ну, и нужные правила -- опять же, больше логов перешлем, чище будет <del>жопа</del> совесть.

<file rsc syslog.rsc>/system logging action
add bsd-syslog=yes name=Syslog remote=192.168.0.245 syslog-facility=local6 \
target=remote

/system logging
add action=Syslog prefix=mk_log topics=info
add action=Syslog prefix=mk_log topics=critical
add action=Syslog prefix=mk_log topics=error
add action=Syslog prefix=mk_log topics=warning
</file>

Использование протокола BSD-syslog, на этом безрыбье((Могли бы уже добавить IETF-syslog!)), обязательно, иначе не будет правильно передаваться важность события. Префикс тоже будет использоваться в дальнейшем и он должен быть у всех устройств одинаковый.

===== Сервер syslog-ng =====

Не скажу, почему именно эта ветка сислога, почему, к примеру, не rsyslog, установленный в Raspberry Pi OS 11 (bullseye) по умолчанию... Просто так сошлись звезды, ну... еще я в документации увидел, что он может [[raspberry_pi:pi_4_model_b:raspberry_pi_os:bash:send_mail|без танцев с бубном]] отправлять письма! Вот.

==== Установка ====

Тут ничего нового:

  - ''sudo apt update && sudo apt upgrade'';
  - ''sudo apt install syslog-ng''.

При этом, rsyslog удалится автоматически! NG его полностью замещает.

==== Настройка ====

Базовые настройки хранятся в файле "/etc/syslog-ng/syslog-ng.conf", а дополнительные принято складывать в папку "/etc/syslog-ng/conf.d/", поэтому нужно создать новый файл ''sudo nano /etc/syslog-ng/conf.d/mikrotik.conf'' и добавить в него конфиг((Вообще, настроек более, чем много и все они описаны в [[https://www.syslog-ng.com/technical-documents/doc/syslog-ng-open-source-edition/3.16/administration-guide|официальной документации]].)):

<file bash mikrotik.conf>#Global
options {
  create-dirs( yes );
  dir-group( adm );
  dir-perm( 0755 );
  group( adm );
  perm( 0644 );
  use-dns( yes );
  use-fqdn( yes );
  dns-cache( yes );
};

#Sources
source s_my_udp {
  network(
    transport( udp )
    flags( no-hostname )
  );
};

#Filters
filter f_my_mikrotik {
  message( "mk_log" );
};
filter f_my_mail {
  message( "changed by admin" )
  or message( "XX:XX:XX:XX:XX:XX" );
};

#Rewrites
rewrite r_my_mikrotik {
  subst( "mk_log: ", "", value( "MESSAGE" ) );
  subst( "XX:XX:XX:XX:XX:XX", "iPhone-Nikolay", value( "MESSAGE" ) );
  subst( "XX:XX:XX:XX:XX:XX", "iPhone-Olga", value( "MESSAGE" ) );
};

#Templates
template t_my_mikrotik {
   template( "<${PRI}>1 ${ISODATE} ${HOST} - - - - ${MESSAGE}\n" );
};

#Destinations
destination d_my_mikrotik {
  file( "/var/log/mikrotik/remote.log"
    template( t_my_mikrotik )
  );
};
destination d_my_mail {
  smtp(
    host( "smtp.domain.int" ) port( 25 )
    from( "Syslog-NG" "syslog-ng@server.zone" )
    to( "Admin" "admin@server.zone" )
    subject( "=?UTF-8?B?<<<кОДИРОВАННЫЙтЕКСТ>>>?=" )
    body( "$MSG" )
  );
};

#Log paths
log {
  source( s_my_udp );
  filter( f_my_mikrotik );
  rewrite( r_my_mikrotik );
  destination( d_my_mikrotik );
    log {
      filter( f_my_mail );
      destination( d_my_mail );
    };
};</file>

После сохранения файла, конфигурацию необходимо проверить ''<nowiki>sudo syslog-ng --syntax-only</nowiki>''((Если в ответ тишина, значит ошибок нет.)) и перечитать ''sudo syslog-ng-ctl reload''. Для рестарта демона можно использовать ''sudo systemctl restart syslog-ng''.

=== #Global ===

Переписываем некоторые глобальные настройки((Можно изменить их в файле "syslog-ng.conf", но зачем?)):

  * разрешаем создавать каталоги (1);
  * немного расширяем права доступа (2-5);
  * разрешаем резолвить имена (6-8)((Не рекомендуется! Вместо этого лучше использовать ''use-dns( persist_only );'' и ''dns-cache-hosts( "/etc/hosts" );'' со статическим списком адресов.)).

=== #Sources ===

Список источников. В данном примере он только один -- BSD-syslog((Поэтому используется драйвер "network()", т.к. "syslog()" предназначен для новой версии IETF-standard syslog protocol, а "tcp()" и "udp()" являются устаревшими.)) на порту 514/UDP. Флаг "no-hostname" необходим для правильного разбора строки((Вообще, немного не правильная реализация, т.к. она лишена гибкости -- лучше использовать конструкцию ''junction { channel { }; channel { }; };'', как [[https://www.syslog-ng.com/technical-documents/doc/syslog-ng-open-source-edition/3.16/administration-guide/62#TOPIC-956624|в этом примере]], но до нее я пока не добрался.)) -- MikroTik не передает имя хоста и все сдвигается на одну позицию влево из-за чего все ломается...

=== #Filters ===

Список фильтров. Первым мы отбираем из потока сообщения от определенных устройств. А вторым отбираем, что нужно отправлять по почте.

=== #Rewrites ===

Правила перезаписи. Сперва мы удаляем уже не нужную метку, а далее для удобства заменяем MAC-адреса читаемыми названиями. Последнее, кстати, мега удобно при просмотре логов!

=== #Templates ===

Шаблоны. Такой шаблон необходим, чтобы логи MikroTik правильно и, что главное, красиво отображались LogAnalyzer'ом в формате IETF-syslog.

=== #Destinations ===

Список назначений. Первое, это текстовый файл с подготовленным выше шаблоном. Второе... ну понятно, же! LOL Отправка на электронную почту.

:!: Тут есть один нюанс -- чтобы использовать русский текст в теме письма((В теле и так все нормально работает.)), его необходимо закодировать в BASE64(([[https://webew.ru/articles/297.webew|Вот эта]] статейка навела на мысль, как это правильно сделать...)), к примеру, используя [[https://online-free-tools.com/en/base_64_encoder_decoder|этот сайт]], и разместить внутри такой конструкции ''<nowiki>=?UTF-8?B?_________?=</nowiki>''.

=== #Log paths ===

Ну и напоследок собираем путь -- тут он один, но с вложением -- сперва сохраняем в файл, а потом отправляем по почте.

===== Ротация логов =====

Для контроля над занимаемым логами местом и размером самих логов, используется утилита "logrotate", которая читает дополнительные конфигурации из папки "/etc/logrotate.d", куда и нужно добавить новую конфигурацию, открыв пустой файл ''sudo nano /etc/logrotate.d/syslog-ng-mk'' и введя в него следующее:

<code bash>/var/log/mikrotik/remote.log
{
        rotate 10
        size 10M
        missingok
        notifempty
        delaycompress
        compress
        nocreate
        postrotate
                invoke-rc.d syslog-ng reload > /dev/null
        endscript
}</code>

Это будет обозначать, что:

  * храним 10 файлов,
  * сдвигаем при достижении размера в 10 мегабайт,
  * не пишем ошибку, если нет файла,
  * не сдвигаем пустой файл,
  * не архивируем только что сдвинутый файл,
  * далее архивируем,
  * не создаем новый,
  * после ротации выполняем указанную команду((Которая заставляет syslog-ng перечитать конфигурацию и самостоятельно создать пустой файл.)).

Далее нужно только проверить конфиг ''<nowiki>sudo logrotate /etc/logrotate.conf --debug</nowiki>'' и все.

===== Просмотр логов =====

Смотреть журналы удобно локально утилитой "[[https://lnav.org/|lnav]]"((Которая доступна в одном из репозиториев apt, т.е. устанавливается командой ''sudo apt install lnav''.)) или через web с помощью [[raspberry_pi:pi_4_model_b:raspberry_pi_os:syslog-ng:loganalyzer|LogAnalyzer]].
Knowledge WiKibase

Инструменты пользователя

Инструменты сайта

Инструменты страницы
