Graylog: 使用 TLS 加密將 rsyslog 日誌傳送至 Graylog

本文件是入門指南指南的一部分。請在此處查看完整指南：如何開始使用 Graylog。

👋 歡迎使用 Stackhero 文件

Stackhero 提供全代管的 Graylog cloud 解決方案，專為速度與簡易性設計。您可以：

• 依賴隨服務附贈的無限制、專屬 SMTP 電子郵件伺服器。
• 只需一鍵即可輕鬆更新，無需手動操作。
• 使用由 HTTPS 保護的自訂網域名稱（例如 https://logs.your-company.com），讓您的團隊能安全且直接地存取。
• 在專屬私有基礎架構上享有卓越的效能與安全性，無需與他人共用資源，也沒有「吵雜鄰居」問題。

專注於您的資料，而非工具本身：只需幾分鐘，即可開始使用 Stackhero 的 Graylog cloud hosting 解決方案。

若您有 rsyslog client 並希望安全地將日誌傳送至 Graylog，請依下列步驟操作：

請勿在 Graylog 的 Input 上啟用任何 TLS 選項。TLS 會由您實例上的反向代理（reverse proxy）直接處理，Graylog 本身不會處理 TLS。

1. 請至 Stackhero 控制台的 Graylog 服務設定頁，啟用 Syslog TCP 514 埠的「TLS 加密」。

2. 依下方說明更新您的 rsyslog 設定。請將 <XXXXXX>.stackhero-network.com 替換為您的實例主機名稱：

   # 定義 TLS CA 憑證
   global(
     DefaultNetstreamDriver="gtls"
     DefaultNetstreamDriverCAFile="/etc/ssl/certs/ca-certificates.crt"
   )
   
   # 將所有日誌傳送至遠端伺服器
   # 此動作會建立一個磁碟佇列。若遠端主機離線，訊息會暫存於磁碟，待主機恢復後再傳送
   # 參考 https://www.rsyslog.com/doc/v8-stable/configuration/actions.html
   # 以及 https://www.rsyslog.com/doc/v8-stable/configuration/modules/omfwd.html
   *.* action(
     type="omfwd"
     target="<XXXXXX>.stackhero-network.com"
     port="514"
     protocol="tcp"
     KeepAlive="on"
     KeepAlive.Interval="30"
     StreamDriver="gtls"
     StreamDriverMode="1"
     StreamDriverAuthMode="x509/name"
     ResendLastMSGOnReconnect="on"
     queue.filename="fwdRule1"  # spool 檔案的唯一名稱前綴
     queue.type="LinkedList"
     queue.maxDiskSpace="256m"
     queue.saveOnShutdown="on"
     action.resumeRetryCount="-1"
     action.resumeInterval="30"
   )
   

3. 重新啟動 rsyslog 服務，並使用下列指令傳送一則日誌以驗證設定：

   logger This is a test
   

設定完成後，您就能透過 TLS 加密安全地將日誌傳送至 Graylog！