Graylogi serveri installimine Ubuntu 16.04-sse

Graylogi server on ettevõtte jaoks valmis avatud lähtekoodiga logihaldustarkvarakomplekt. See kogub logisid erinevatest allikatest ja analüüsib neid probleemide avastamiseks ja lahendamiseks. Greylogi server on põhimõtteliselt Elasticsearchi, MongoDB ja Graylogi kombinatsioon. Elasticsearch on väga populaarne avatud lähtekoodiga rakendus teksti salvestamiseks ja väga võimsate otsinguvõimaluste pakkumiseks. MongoDB on avatud lähtekoodiga rakendus andmete salvestamiseks NoSQL-vormingus. Graylog kogub logisid erinevatest allikatest ja pakub logide haldamiseks ja otsimiseks veebipõhist armatuurlauda. Graylog pakub ka REST API-d nii konfiguratsiooni kui ka andmete jaoks. See pakub konfigureeritavat armatuurlauda, ​​mida saab kasutada mõõdikute visualiseerimiseks ja suundumuste jälgimiseks, kasutades väljastatistikat, kiirväärtusi ja diagramme ühest kesksest asukohast.

Selles õpetuses õpite installima Graylog Serveri versioonile Ubuntu 16.04. See juhend on kirjutatud Graylog Server 2.3 jaoks, kuid võib töötada ka uuemates versioonides. Samuti õpid installima Java, Elasticsearch ja MongoDB. Samuti kaitseme MongoDB eksemplari ja seadistame veebipõhise armatuurlaua ja API jaoks Nginxi pöördpuhverserveri.

Eeltingimused

• Vultr Ubuntu 16.04 serveri eksemplar, millel on vähemalt 4 GB muutmälu.
• Sudo kasutaja .

Selles õpetuses kasutame 192.0.2.1serveri avaliku IP-aadressina ja serverile osutava graylog.example.comdomeeninimena. Asendage kõik esinemised 192.0.2.1oma Vultri avaliku IP-aadressiga ja graylog.example.comoma tegeliku domeeninimega.

Värskendage oma baassüsteemi, kasutades juhendit Kuidas värskendada Ubuntu 16.04 . Kui teie süsteem on värskendatud, jätkake Java installimisega.

Installige Java

Elasticsearch nõuab töötamiseks Java 8. See toetab nii Oracle Java-d kui ka OpenJDK-d, kuid võimalusel on alati soovitatav kasutada Oracle Java-d. Lisage Oracle Java PPA hoidla:

sudo add-apt-repository ppa:webupd8team/java

Värskendage APT hoidla metaandmeid:

sudo apt update

Installige Java 8 uusim stabiilne versioon, käivitage:

sudo apt -y install oracle-java8-installer

Nõustuge litsentsilepinguga, kui seda küsitakse. Kui Java installimine õnnestus, peaksite saama selle versiooni kontrollida.

java -version

Näete järgmist väljundit.

user@vultr:~$ java -version
java version "1.8.0_144"
Java(TM) SE Runtime Environment (build 1.8.0_144-b01)
Java HotSpot(TM) 64-Bit Server VM (build 25.144-b01, mixed mode)

Seadistage JAVA_HOMEja muud vaikeseaded, installides oracle-java8-set-default. Jookse:

sudo apt -y install oracle-java8-set-default

Käivitage echo $JAVA_HOMEkäsk, et kontrollida, kas keskkonnamuutuja on määratud või mitte.

user@vultr:~$ echo "$JAVA_HOME"
/usr/lib/jvm/java-8-oracle

Kui te ülaltoodud väljundit ei saa, peate võib-olla välja logima ja uuesti kesta sisse logima.

Installige Elasticsearch

Elasticsearch on hajutatud, reaalajas skaleeritav ja väga kättesaadav rakendus, mida kasutatakse logide salvestamiseks ja nende kaudu otsimiseks. See salvestab andmed indeksitesse ja andmete otsimine on väga kiire. See pakub erinevaid API-de komplekte, nagu HTTP RESTful API ja native Java API. Elasticsearchi saab installida otse Elasticsearchi hoidla kaudu. Lisage Elasticsearch APT hoidla:

echo "deb https://artifacts.elastic.co/packages/5.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-5.x.list

Importige pakettide allkirjastamiseks kasutatud PGP-võti. See tagab pakendite terviklikkuse.

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

Värskendage APT hoidla metaandmeid.

sudo apt update

Installige Elasticsearchi pakett:

sudo apt -y install elasticsearch

Kui pakett on installitud, avage Elasticsearchi vaikekonfiguratsioonifail.

sudo nano /etc/elasticsearch/elasticsearch.yml

Leia järgmine rida, uncomment see ja muuta väärtus my-applicationkuni graylog.

cluster.name: graylog

Saate käivitada Elasticsearchi ja lubada selle alglaadimisel automaatse käivitumise:

sudo systemctl enable elasticsearch
sudo systemctl start elasticsearch

Elasticsearch töötab nüüd pordis 9200. Kontrollige, kas see töötab korralikult, käivitades:

curl -XGET 'localhost:9200/?pretty'

Peaksite nägema järgmisega sarnast väljundit.

[user@vultr ~]$ curl -XGET 'localhost:9200/?pretty'
{
  "name" : "-kYzFA9",
  "cluster_name" : "graylog",
  "cluster_uuid" : "T3JQKehzSqmLThlVkEKPKg",
  "version" : {
    "number" : "5.5.1",
    "build_hash" : "19c13d0",
    "build_date" : "2017-07-18T20:44:24.823Z",
    "build_snapshot" : false,
    "lucene_version" : "6.6.0"
  },
  "tagline" : "You Know, for Search"
}

Kui ilmnevad vead, oodake mõni sekund ja proovige uuesti, kuna Elasticsearchil kulub käivitusprotsessi lõpuleviimiseks aega. Elasticsearch on nüüd installitud ja töötab korralikult.

Installige MongoDB

MongoDB on tasuta ja avatud lähtekoodiga NoSQL-i andmebaasiserver. Erinevalt traditsioonilisest andmebaasist, mis kasutab andmete korraldamiseks tabeleid, on MongoDB dokumendile orienteeritud ja kasutab JSON-i sarnaseid dokumente ilma skeemideta. Graylog kasutab oma konfiguratsiooni ja metateabe salvestamiseks MongoDB-d. Seda saab installida otse MongoDB hoidla kaudu. Importige paketi allkirjastamiseks kasutatud GPG-võti. See tagab pakendite autentsuse.

sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv 0C49F3730359A14518585931BC711F9BA15703C6

Nüüd looge hoidla fail:

echo "deb [ arch=amd64,arm64 ] http://repo.mongodb.org/apt/ubuntu xenial/mongodb-org/3.4 multiverse" | sudo tee /etc/apt/sources.list.d/mongodb-org-3.4.list

Värskendage APT hoidla metaandmeid.

sudo apt update

Installige MongoDB pakett:

sudo apt -y install mongodb-org

Käivitage MongoDB server ja lubage see automaatselt käivituda.

sudo systemctl start mongod
sudo systemctl enable mongod

Installige Graylogi server

Laadige alla ja uusim hoidla Graylogi serveri jaoks.

wget https://packages.graylog2.org/repo/packages/graylog-2.3-repository_latest.deb
sudo dpkg -i graylog-2.3-repository_latest.deb
sudo apt update

Installige Graylogi pakett:

sudo apt install graylog-server

Graylogi server on nüüd teie serverisse installitud. Enne selle käivitamist peate konfigureerima mõned asjad.

Graylogi seadistamine

pwgenTugevate paroolide genereerimiseks installige utiliit.

sudo apt -y install pwgen

Nüüd looge tugev salasõna.

pwgen -N 1 -s 96

Väljastate sarnaselt:

[user@vultr ~]$ pwgen -N 1 -s 96
pJqhNbdEY9FtNBfFUtq20lG2m9daacmsZQr59FhyoA0Wu3XQyVZcu5FedPZ9eCiDfjdiYWfRcEQ7a36bVqxSyTzcMMx5Rz8v

Samuti genereerige juurkasutaja parooli jaoks 256-bitine räsi admin:

echo -n StrongPassword | sha256sum

Asendage StrongPasswordparooliga, mille soovite adminkasutajale määrata . Sa näed:

[user@vultr ~]$ echo -n StrongPassword | sha256sum
05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223  -

Avage Graylogi konfiguratsioonifail:

sudo nano /etc/graylog/server/server.conf

Otsige üles password_secret =, kopeerige ja kleepige pwgenkäsuga loodud parool . Otsige üles root_password_sha2 =, kopeerige ja kleepige oma administraatori parooli teisendatud SHA 256-bitine räsi. Otsige üles #root_email =, tühjendage kommentaarid ja sisestage oma e-posti aadress. Tühista kommentaarid ja määra oma ajavöönd root_timezone. Näiteks:

password_secret = pJqhNbdEY9FtNBfFUtq20lG2m9daacmsZQr59FhyoA0Wu3XQyVZcu5FedPZ9eCiDfjdiYWfRcEQ7a36bVqxSyTzcMMx5Rz8v
root_password_sha2 = 05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223
root_email = [email protected]
root_timezone = Asia/Kolkata

Lubage veebipõhine Graylogi liides, tühistades kommentaarid #web_enable = falseja määrates selle väärtuseks true. Tühistage ka järgmised read ja muutke neid vastavalt ettekirjutusele.

rest_listen_uri = http://0.0.0.0:9000/api/
rest_transport_uri = http://192.0.2.1:9000/api/
web_enable = true
web_listen_uri = http://0.0.0.0:9000/

Salvestage fail ja väljuge tekstiredaktorist.

Taaskäivitage ja lubage Graylogi teenus, käivitades:

sudo systemctl restart graylog-server
sudo systemctl enable graylog-server

Seadistage Nginx pöördpuhverserverina

Vaikimisi kuulab Graylogi veebiliides localhostpordil 9000 ja API pordil 9000 URL-iga /api. Selles õpetuses kasutame Nginxi pöördpuhverserverina, et rakendusele pääseks juurde standardse HTTP-pordi kaudu. Installige Nginxi veebiserver, käivitades:

sudo apt -y install nginx

Avage virtuaalse hosti vaikefail, tippides.

sudo nano /etc/nginx/sites-available/default

Asendage olemasolev sisu järgmiste ridadega:

server
{
    listen 80 default_server;
    listen [::]:80 default_server ipv6only=on;
    server_name 192.0.2.1 graylog.example.com;

    location / {
      proxy_set_header Host $http_host;
      proxy_set_header X-Forwarded-Host $host;
      proxy_set_header X-Forwarded-Server $host;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Graylog-Server-URL http://$server_name/api;
      proxy_pass       http://127.0.0.1:9000;
    }
}

Käivitage Nginx ja lubage see alglaadimisel automaatselt käivituda:

sudo systemctl restart nginx
sudo systemctl enable nginx

Järeldus

Graylogi serveri installimine ja põhikonfiguratsioon on nüüd lõpetatud. Nüüd pääsete Graylogi serverile juurde http://192.0.2.1või http://graylog.example.comkui teil on DNS konfigureeritud. Logige sisse, kasutades kasutajanime adminja parooli lihtteksti versiooni, mille olete varem määranud root_password_sha2.

Õnnitleme – teie Ubuntu 16.04 serverisse on installitud täielikult töötav Graylogi server.