Graylogi serveri installimine CentOS 7-sse

Graylogi server on ettevõtte jaoks valmis avatud lähtekoodiga logihaldustarkvarakomplekt. See kogub logisid erinevatest allikatest ja analüüsib neid probleemide avastamiseks ja lahendamiseks. Graylogi server on põhimõtteliselt Elasticsearchi, MongoDB ja Graylogi kombinatsioon. Elasticsearch on väga populaarne avatud lähtekoodiga rakendus teksti salvestamiseks ja väga võimsate otsinguvõimaluste pakkumiseks. MongoDB on avatud lähtekoodiga rakendus andmete salvestamiseks NoSQL-vormingus. Graylog kogub logisid erinevatest allikatest ja pakub logide haldamiseks ja otsimiseks veebipõhist armatuurlauda. Graylog pakub ka REST API-d nii konfiguratsiooni kui ka andmete jaoks. See pakub konfigureeritavat armatuurlauda, ​​mida saab kasutada mõõdikute visualiseerimiseks ja suundumuste jälgimiseks, kasutades väljastatistikat, kiirväärtusi ja diagramme ühest kesksest asukohast.

Selles õpetuses õpite installima Graylog Serverit opsüsteemi CentOS 7. See juhend on kirjutatud Graylog Server 2.3 jaoks, kuid see võib töötada ka uuemate versioonidega. Samuti õpid installima Java, Elasticsearch ja MongoDB. Samuti kaitseme MongoDB eksemplari ja seadistame veebipõhise armatuurlaua ja API jaoks Nginxi pöördpuhverserveri.

Eeltingimused

• Vultr CentOS 7 serveri eksemplar, millel on vähemalt 4 GB muutmälu.
• Sudo kasutaja .

Selles õpetuses kasutame 192.0.2.1serveri avaliku IP-aadressina ja serverile osutava graylog.example.comdomeeninimena. Asendage kõik esinemised 192.0.2.1oma Vultri avaliku IP-aadressiga ja graylog.example.comoma tegeliku domeeninimega.

Värskendage oma baassüsteemi, kasutades juhendit CentOS 7 värskendamine . Kui teie süsteem on värskendatud, jätkake Java installimisega.

Installige Java

Elasticsearch nõuab töötamiseks Java 8. See toetab nii Oracle Java-d kui ka OpenJDK-d, kuid võimalusel on alati soovitatav kasutada Oracle Java-d. Oracle pakub installimiseks valmis RPM-pakette. Laadige alla Oracle JDK RPM:

wget --no-cookies --no-check-certificate --header "Cookie:oraclelicense=accept-securebackup-cookie" "http://download.oracle.com/otn-pub/java/jdk/8u144-b01/090f390dda5b47b9b721c7dfaa008135/jdk-8u144-linux-x64.rpm"

Installige RPM-pakett.

sudo yum -y install jdk-8u144-linux-x64.rpm

Kui Java installimine õnnestus, peaksite saama selle versiooni kontrollida.

java -version

Näete järgmist väljundit.

[user@vultr ~]$ java -version
java version "1.8.0_144"
Java(TM) SE Runtime Environment (build 1.8.0_144-b01)
Java HotSpot(TM) 64-Bit Server VM (build 25.144-b01, mixed mode)

Määrake JAVA_HOMEja JRE_HOMEkeskkonnamuutuja käivitades:

echo "export JAVA_HOME=/usr/java/jdk1.8.0_144/" >> ~/.bash_profile
echo "export JRE_HOME=/usr/java/jdk1.8.0_144/jre" >> ~/.bash_profile

Nüüd hankige fail järgmise käsu abil.

source ~/.bash_profile

Käivitage echo $JAVA_HOMEkäsk, et kontrollida, kas keskkonnamuutuja on määratud või mitte.

[user@vultr ~]$ echo $JAVA_HOME
/usr/java/jdk1.8.0_144/

Installige Elasticsearch

Elasticsearch on hajutatud, reaalajas skaleeritav ja väga kättesaadav rakendus, mida kasutatakse logide salvestamiseks ja nende kaudu otsimiseks. See salvestab andmed indeksitesse ja andmete otsimine on väga kiire. See pakub erinevaid API-de komplekte, nagu HTTP RESTful API ja native Java API. Elasticsearchi saab installida otse Elasticsearchi hoidla kaudu. Looge Elasticsearchi jaoks uus hoidlafail.

sudo nano /etc/yum.repos.d/elasticsearch.repo

Täitke fail järgmise sisuga.

[elasticsearch-5.x]
name=Elasticsearch repository for 5.x packages
baseurl=https://artifacts.elastic.co/packages/5.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md

Importige pakettide allkirjastamiseks kasutatud PGP-võti. See tagab pakendite terviklikkuse.

sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch

Installige Elasticsearchi pakett:

sudo yum -y install elasticsearch

Kui pakett on installitud, avage Elasticsearchi vaikekonfiguratsioonifail.

sudo nano /etc/elasticsearch/elasticsearch.yml

Leia järgmine rida, uncomment see ja muuta väärtus my-applicationkuni graylog.

cluster.name: graylog

Saate käivitada Elasticsearchi ja lubada selle alglaadimisel automaatse käivitumise:

sudo systemctl enable elasticsearch
sudo systemctl start elasticsearch

Elasticsearch töötab nüüd pordis 9200. Kontrollige, kas see töötab korralikult, käivitades:

curl -XGET 'localhost:9200/?pretty'

Peaksite nägema järgmisega sarnast väljundit.

[user@vultr ~]$ curl -XGET 'localhost:9200/?pretty'
{
  "name" : "-kYzFA9",
  "cluster_name" : "graylog",
  "cluster_uuid" : "T3JQKehzSqmLThlVkEKPKg",
  "version" : {
    "number" : "5.5.1",
    "build_hash" : "19c13d0",
    "build_date" : "2017-07-18T20:44:24.823Z",
    "build_snapshot" : false,
    "lucene_version" : "6.6.0"
  },
  "tagline" : "You Know, for Search"
}

Kui ilmnevad vead, oodake mõni sekund ja proovige uuesti, kuna Elasticsearchil kulub käivitusprotsessi lõpuleviimiseks aega. Elasticsearch on nüüd installitud ja töötab korralikult.

Installige MongoDB

MongoDB on tasuta ja avatud lähtekoodiga NoSQL-i andmebaasiserver. Erinevalt traditsioonilisest andmebaasist, mis kasutab andmete korraldamiseks tabeleid, on MongoDB dokumendile orienteeritud ja kasutab JSON-i sarnaseid dokumente ilma skeemideta. Graylog kasutab oma konfiguratsiooni ja metateabe salvestamiseks MongoDB-d. Seda saab installida otse MongoDB hoidla kaudu. Looge MongoDB jaoks uus hoidla fail.

sudo nano /etc/yum.repos.d/mongodb.repo

Täitke fail järgmise sisuga.

[mongodb-org-3.4]
name=MongoDB Repository
baseurl=https://repo.mongodb.org/yum/redhat/$releasever/mongodb-org/3.4/x86_64/
gpgcheck=1
enabled=1
gpgkey=https://www.mongodb.org/static/pgp/server-3.4.asc

Installige MongoDB, käivitades:

sudo yum -y install mongodb-org

Käivitage MongoDB server ja lubage see automaatselt käivituda.

sudo systemctl start mongod
sudo systemctl enable mongod

Installige Graylogi server

Laadige alla Graylogi serveri uusim hoidla.

sudo rpm -Uvh https://packages.graylog2.org/repo/packages/graylog-2.3-repository_latest.rpm
sudo yum -y update

Installige Graylog, käivitades:

sudo yum -y install graylog-server

Graylogi server on nüüd teie serverisse installitud. Enne selle käivitamist peate konfigureerima mõned asjad.

Graylogi seadistamine

pwgenTugevate paroolide genereerimiseks installige utiliit.

sudo yum -y install pwgen

Nüüd looge tugev salasõna.

pwgen -N 1 -s 96

Väljastate sarnaselt:

[user@vultr ~]$ pwgen -N 1 -s 96
pJqhNbdEY9FtNBfFUtq20lG2m9daacmsZQr59FhyoA0Wu3XQyVZcu5FedPZ9eCiDfjdiYWfRcEQ7a36bVqxSyTzcMMx5Rz8v

Samuti genereerige juurkasutaja parooli jaoks 256-bitine räsi admin:

echo -n StrongPassword | sha256sum

Asendage StrongPasswordparooliga, mille soovite adminkasutajale määrata . Sa näed:

[user@vultr ~]$ echo -n StrongPassword | sha256sum
05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223  -

Avage Graylogi konfiguratsioonifail:

sudo nano /etc/graylog/server/server.conf

Otsige üles password_secret =, kopeerige ja kleepige pwgenkäsuga loodud parool . Otsige üles root_password_sha2 =, kopeerige ja kleepige oma administraatori parooli teisendatud SHA 256-bitine räsi. Otsige üles #root_email =, tühjendage kommentaarid ja sisestage oma e-posti aadress. Tühista kommentaarid ja määra oma ajavöönd root_timezone. Näiteks:

password_secret = pJqhNbdEY9FtNBfFUtq20lG2m9daacmsZQr59FhyoA0Wu3XQyVZcu5FedPZ9eCiDfjdiYWfRcEQ7a36bVqxSyTzcMMx5Rz8v
root_password_sha2 = 05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223
root_email = [email protected]
root_timezone = Asia/Kolkata

Lubage veebipõhine Graylogi liides, tühistades kommentaarid #web_enable = falseja määrates väärtuseks true. Tühistage ka järgmised read ja muutke neid vastavalt ettekirjutusele.

rest_listen_uri = http://0.0.0.0:9000/api/
rest_transport_uri = http://45.76.214.19:9000/api/
web_enable = true
web_listen_uri = http://0.0.0.0:9000/

Salvestage fail ja väljuge tekstiredaktorist.

Taaskäivitage teenus Graylog, käivitades:

sudo systemctl restart graylog-server

Seadistage Nginx pöördpuhverserverina

Vaikimisi kuulab Graylogi veebiliides localhostpordil 9000 ja API pordil 9000 URL-iga /api. Selles õpetuses kasutame Nginxi pöördpuhverserverina, et rakendusele pääseks juurde standardse HTTP-pordi kaudu. Installige Nginxi veebiserver, käivitades:

sudo yum -y install nginx

Avage vaikimisi virtuaalne host, tippides.

sudo nano /etc/nginx/nginx.conf

Leidke serverplokk all httpja asendage kogu serverplokk järgmiste ridadega.

server
{
    listen 80 default_server;
    listen [::]:80 default_server ipv6only=on;
    server_name graylog.example.com 192.0.2.1;

    location / {
      proxy_set_header Host $http_host;
      proxy_set_header X-Forwarded-Host $host;
      proxy_set_header X-Forwarded-Server $host;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Graylog-Server-URL http://$server_name/api;
      proxy_pass       http://127.0.0.1:9000;
    }
}

Käivitage Nginx ja lubage see alglaadimisel automaatselt käivituda:

sudo systemctl start nginx
sudo systemctl enable nginx

Seadistage tulemüür ja SELinux

Kui kasutate oma serveris tulemüüri, peate tulemüüri konfigureerima teatud portide jaoks erandi määramiseks. Lubage teenusel Elasticsearch ja Nginxi pöördpuhverserver ühenduda väljaspool võrku.

sudo firewall-cmd --zone=public --permanent --add-service=http
sudo firewall-cmd --zone=public --permanent --add-port=9200/tcp
sudo firewall-cmd --reload

Kui teie süsteemis on SELinux lubatud, peate SELinuxi poliitikatesse lisama mõned erandid.

sudo setsebool -P httpd_can_network_connect 1
sudo semanage port -a -t http_port_t -p tcp 9000
sudo semanage port -a -t http_port_t -p tcp 9200
sudo semanage port -a -t mongod_port_t -p tcp 27017

Järeldus

Graylogi serveri installimine ja põhikonfiguratsioon on nüüd lõpetatud. Nüüd pääsete Graylogi serverile juurde http://192.0.2.1või http://graylog.example.comkui teil on DNS konfigureeritud. Logige sisse, kasutades kasutajanime adminja parooli lihtteksti versiooni, mille olete varem määranud root_password_sha2.

Õnnitleme – teie CentOS 7 serverisse on installitud täielikult töötav Graylogi server.