Paramétrage et utilisation d'un serveur Syslog¶

1. Objectif du cours¶

Mettre en place une centralisation des logs sur un serveur Syslog et rediriger les logs dʼun serveur Debian et dʼun serveur Windows vers ce serveur, puis consulter et filtrer ces logs via lʼinterface LogAnalyzer.

2. Notions et définitions essentielles¶

Serveur Syslog : serveur centralisant les logs de lʼinfrastructure pour une consultation et un traitement simplifiés.
rsyslog : implémentation Syslog courante sous Linux.
Rsyslog Windows Agent : agent à installer sur Windows pour transmettre les logs vers un serveur Syslog.
LogAnalyzer : interface web permettant de consulter, trier et filtrer les logs centralisés.
Synchronisation temporelle : garantir des horodatages cohérents entre hôtes pour des logs exploitables.

3. Fonctionnement et principes¶

Le modèle est client/serveur : chaque hôte (serveur Linux, Windows, équipements réseau) envoie ses messages vers le serveur Syslog qui les stocke et les expose via une interface web (LogAnalyzer). Les logs sont affichés sous forme de tableau trié du plus récent au plus ancien, avec métadonnées (date/heure, hôte, gravité, message). Pour Windows, comme rsyslog n'est pas natif, un agent collecte et relaie les événements. Le transport utilise un port réseau dédié (514) et peut se faire via TCP selon la configuration choisie. Sans filtrage initial, la centralisation peut engendrer un volume important de données ; il faut donc penser à filtrer et purger.

4. Commandes et manipulations¶

Regroupe les opérations réellement présentées dans le document.

Linux (SrvLamp) :
Ouvrir le fichier de configuration : nano /etc/rsyslog.conf
Ajouter la ligne de redirection : . @@192.168.100.200:514 (tous les logs envoyés en TCP vers l'IP du serveur Syslog sur le port 514)
Redémarrer le service rsyslog : systemctl restart rsyslog.service
Redémarrer les services locaux (services LAMP) pour générer des logs de test.
Windows (WinServ-AD) :
Installer lʼexécutable Rsyslog Windows Agent (rsyslogwa.exe).
Dans Rsyslog Agent Configuration : Default Rules → ForwardSyslog → Actions → Rsyslog.
Saisir lʼIP du serveur dans le champ "Syslog Server", cliquer Save, puis Start pour lancer lʼagent.
Consultation :
Accéder à LogAnalyzer via navigateur : http://adressipduserveur/syslogweb (ex. http://192.168.100.200/syslogweb).
Utiliser le champ "search (filter)" pour filtrer par période, host, gravité, etc.
Dépannage :
Si erreurs persistantes côté Windows : modifier "Outpoint Encoding" → Unicode UTF8 puis redémarrer lʼagent.
Si rien ne remonte : redémarrer le service rsyslog sur SrvSyslog et SrvLamp, éventuellement ajuster taux de rafraîchissement ou redémarrer les VM.

5. Sécurité et bonnes pratiques¶

Sauvegarder tout fichier de configuration avant modification (précaution systématique).
Assurer une synchronisation horaire correcte entre machines (horodatages justes).
Ne pas centraliser sans réflexion : prévoir filtrage pour éviter une saturation de logs (tachycardie d'information).
Prévoir une procédure de purge des anciens logs si les dossiers deviennent pleins (liens de référence fournis pour scripts de purge).
Pour le déploiement initial, documenter et tester progressivement (commencer par une machine, répliquer ensuite).

6. Points essentiels à retenir pour le TSSR¶

But principal : centraliser les logs pour accélérer le diagnostic et la réactivité.
Sous Linux, rsyslog est couramment disponible ; sous Windows, un agent est nécessaire.
La ligne de redirection utilise le port 514 et peut être configurée pour TCP (indicateur @@).
Toujours redémarrer le service rsyslog après modification de sa configuration.
LogAnalyzer affiche les événements triés du plus récent au plus ancien et permet des filtres par hôte, période, service et niveaux (Error/Warning).
Un état "ERR" apparaît sur fond rouge dans LogAnalyzer (alerte visuelle importante).
Si la remontée nʼest pas immédiate : vérifier services, rafraîchissement, encoding et relancer les agents/services avant de redémarrer des machines.
Penser dès le départ à filtrer et à purger les logs pour gérer l'espace et la pertinence des alertes.

7. Tableau récapitulatif¶

Élément	Caractéristique principale
Client Linux	rsyslog natif, configuration dans /etc/rsyslog.conf
Client Windows	Nécessite Rsyslog Windows Agent pour envoyer les logs
Transport	Port utilisé : 514 ; configuration possible en TCP (indiqué par @@)
Interface	LogAnalyzer : tableau trié, filtres (host/date/service), recherche
Entretien	Purge et filtrage nécessaires pour éviter saturation des dossiers logs

8. Vérifications pratiques¶

Accéder à l'URL du serveur LogAnalyzer et vérifier que l'hôte WinServ-AD (ou SrvLamp) apparaît dans la remontée.
Confirmer que des logs récents s'affichent en tête du tableau (tri par date/heure).
Vérifier qu'un message d'état "ERR" est affiché en rouge pour les erreurs.
Tester un filtre (ex. Error uniquement, ou Warning+Error) et constater le résultat attendu.
Après modification d'encoding ou de configuration de l'agent Windows, vérifier que l'agent a bien été démarré (bouton Start) et que les logs reprennent.

9. Flashcards Anki¶

Quel fichier modifier sur SrvLamp pour configurer la redirection des logs ? :: /etc/rsyslog.conf Quelle ligne ajouter dans rsyslog.conf pour envoyer tous les logs au serveur 192.168.100.200 ? :: . @@192.168.100.200:514 Que signifie @@ dans la ligne de redirection ? :: Envoyé en TCP À quoi correspond le ":514" dans la syntaxe de redirection ? :: Au numéro de port quʼutilise Syslog Quel agent installer sur Windows Server 2016 pour envoyer les logs ? :: Rsyslog Windows Agent Où saisir lʼadresse du serveur Syslog dans l'agent Windows ? :: Dans le champ "Syslog Server" de Rsyslog Agent Configuration Quelle URL utiliser pour consulter LogAnalyzer dans le module ? :: http://adressipduserveur/syslogweb Quelle couleur indique un état "ERR" dans LogAnalyzer ? :: Rouge Que faire avant toute modification dʼun fichier de configuration ? :: Sauvegarder le fichier de configuration Quel service Linux redémarrer après modification du fichier rsyslog.conf ? :: rsyslog.service