Graylog: Envoyer des logs rsyslog vers Graylog avec chiffrement TLS

Cette documentation fait partie du guide Premiers pas. Consultez le guide complet ici : Comment débuter avec Graylog.

👋 Bienvenue dans la documentation Stackhero

Stackhero offre une solution Graylog cloud entièrement gérée, conçue pour la rapidité et la simplicité. Vous pouvez :

• Compter sur un serveur SMTP d'email dédié et illimité inclus avec votre service.
• Appliquer les mises à jour facilement en un seul clic, sans intervention manuelle.
• Utiliser un nom de domaine personnalisé sécurisé par HTTPS (par exemple, https://logs.votre-entreprise.com), pour offrir à votre équipe un accès direct et sécurisé.
• Profiter d'une performance et d'une sécurité accrues sur une infrastructure privée et dédiée, sans ressources partagées ni voisins bruyants.

Concentrez-vous sur vos données, pas sur vos outils : vous pouvez commencer avec la solution Graylog cloud hosting de Stackhero en seulement quelques minutes.

Si vous avez un client rsyslog et souhaitez envoyer vos logs de façon sécurisée à Graylog, suivez ces étapes :

N’activez aucune option TLS sur l’input de Graylog. Le TLS sera géré directement par un reverse proxy sur votre instance, donc Graylog ne s’en occupera pas.

1. Rendez-vous dans la configuration de votre service Graylog sur le tableau de bord Stackhero et activez le « chiffrement TLS » pour le port Syslog TCP 514.

2. Mettez à jour la configuration de votre rsyslog comme indiqué ci-dessous. Remplacez <XXXXXX>.stackhero-network.com par le nom d’hôte de votre instance :

   # Définir le certificat CA TLS
   global(
     DefaultNetstreamDriver="gtls"
     DefaultNetstreamDriverCAFile="/etc/ssl/certs/ca-certificates.crt"
   )
   
   # Envoyer tous les logs vers un serveur distant
   # Une file d’attente sur disque est créée pour cette action. Si l’hôte distant
   # est indisponible, les messages sont stockés sur disque et envoyés dès qu’il redevient accessible
   # Voir https://www.rsyslog.com/doc/v8-stable/configuration/actions.html
   # et https://www.rsyslog.com/doc/v8-stable/configuration/modules/omfwd.html
   *.* action(
     type="omfwd"
     target="<XXXXXX>.stackhero-network.com"
     port="514"
     protocol="tcp"
     KeepAlive="on"
     KeepAlive.Interval="30"
     StreamDriver="gtls"
     StreamDriverMode="1"
     StreamDriverAuthMode="x509/name"
     ResendLastMSGOnReconnect="on"
     queue.filename="fwdRule1"  # préfixe unique pour les fichiers de spool
     queue.type="LinkedList"
     queue.maxDiskSpace="256m"
     queue.saveOnShutdown="on"
     action.resumeRetryCount="-1"
     action.resumeInterval="30"
   )
   

3. Redémarrez votre service rsyslog et vérifiez la configuration en envoyant un log avec la commande :

   logger This is a test
   

La configuration est terminée. Vous envoyez maintenant vos logs de façon sécurisée à Graylog via TLS !