Graylog: Enviar logs rsyslog para o Graylog com encriptação TLS

Esta documentação faz parte do guia Primeiros passos. Consulte o guia completo aqui: Como começar a utilizar o Graylog.

👋 Bem-vindo à documentação da Stackhero

A Stackhero disponibiliza uma solução Graylog cloud totalmente gerida, concebida para garantir rapidez e simplicidade. Pode:

• Contar com um servidor de email SMTP dedicado e ilimitado incluído no seu serviço.
• Aplicar atualizações de forma simples, com apenas um clique, sem necessidade de intervenção manual.
• Utilizar um domínio personalizado protegido por HTTPS (por exemplo, https://logs.sua-empresa.com), proporcionando à sua equipa um acesso direto e seguro.
• Beneficiar de elevada performance e segurança numa infraestrutura privada e dedicada, sem recursos partilhados nem vizinhos ruidosos.

Concentre-se nos seus dados, não nas ferramentas: pode começar a utilizar a solução Graylog cloud hosting da Stackhero em apenas alguns minutos.

Se tem um cliente rsyslog e pretende enviar logs de forma segura para o Graylog, siga estes passos:

Não ative nenhuma opção de TLS no input do Graylog. O TLS será gerido diretamente por um reverse proxy na sua instância, pelo que o Graylog não irá tratar deste processo.

1. Aceda à configuração do seu serviço Graylog no dashboard da Stackhero e ative a "encriptação TLS" para a porta Syslog TCP 514.

2. Atualize a configuração do seu rsyslog conforme indicado abaixo. Substitua <XXXXXX>.stackhero-network.com pelo hostname da sua instância:

   # Definir o certificado CA TLS
   global(
     DefaultNetstreamDriver="gtls"
     DefaultNetstreamDriverCAFile="/etc/ssl/certs/ca-certificates.crt"
   )
   
   # Enviar todos os logs para um servidor remoto
   # É criada uma fila em disco para esta ação. Se o host remoto estiver
   # indisponível, as mensagens são armazenadas em disco e enviadas assim que voltar a estar acessível
   # Consulte https://www.rsyslog.com/doc/v8-stable/configuration/actions.html
   # e https://www.rsyslog.com/doc/v8-stable/configuration/modules/omfwd.html
   *.* action(
     type="omfwd"
     target="<XXXXXX>.stackhero-network.com"
     port="514"
     protocol="tcp"
     KeepAlive="on"
     KeepAlive.Interval="30"
     StreamDriver="gtls"
     StreamDriverMode="1"
     StreamDriverAuthMode="x509/name"
     ResendLastMSGOnReconnect="on"
     queue.filename="fwdRule1"  # prefixo único para ficheiros de spool
     queue.type="LinkedList"
     queue.maxDiskSpace="256m"
     queue.saveOnShutdown="on"
     action.resumeRetryCount="-1"
     action.resumeInterval="30"
   )
   

3. Reinicie o serviço rsyslog e verifique a configuração enviando um log com o seguinte comando:

   logger This is a test
   

A configuração está concluída. Está agora a enviar logs de forma segura para o Graylog através de TLS!