1023.990天：Linux CentOS 7搭建日志服务器

#每日三件事，第990天#

      《中华人民共和国网络安全法》第二十一条第一款第三项规定网络运营者应采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。在GB/T22239《网络安全等级保护基本要求》的安全计算环境中，对安全审计也有明确的要求。

      在落实法律义务和责任，开展网络安全等级保护工作的过程中，日志服务器成了必不可少的一项。商用的日志审计系统固然好，但利用CentOS7也可以做一个简单的日志服务器，收集网络中其他设备的日志信息。

日志服务器端的配置：

yum install syslog，其实CentOS7默认就已经安装了rsyslog服务。系统会自动检测，并不会重新安装一遍syslog服务。

vim /etc/rsyslogconf，找到#Providers TCP syslog reception这一行，把下面两行前面的#去掉即可：

#Providers TCP syslog reception

$ModLoad imtcp

$InputTCCPServerRun 514

======分割线 ======

在/etc/rsyslogd/创建一个名为client_ipconf的文件，每个日志发送客户端创建一个文件。我的实验环境中有一个ip为19216811的客户端，因此创建一个19216811conf的文件。

vim /etc/rsyslogd/19216811conf

:fromhost-ip,isequal, "19216811" /var/log/client/19216811log

systemctl restart rsyslog

重启之后一定要检查一下，使用命令：systemctl status rsyslog，并且保证rsyslog服务能够在开机时自动启动。

客户端的配置如下：

vim  /etc/rsyslogconf，去掉#Providers TCP syslog reception下面两行的注释：

#Providers TCP syslog reception

$ModLoad imtcp

$InputTCCPServerRun 514

在最后一行添加：

@@192168110:514

其中192168110是日志服务器的IP地址。

systemctl restart rsyslog，并查看rsyslog的状态，保证服务在开机时自动启动。

此时在日志服务器上就可以接收到客户端发来的日志信息了。

secureCRT会将你原来的文本原封不动的按照字符串的样式发送给服务器。所以当你的服务器上的vim设置为autoindent的话，在i模式下，那么它会将secureCRT传输而来的这些字符串再进行一下缩进。若你拷贝的文本中已经有表示缩进的空格或者制表符的话，它们也会被当成字符串，而被缩进。
解决办法：
1 在拷贝前输入:set paste (这样的话，vim就不会启动自动缩进，而只是纯拷贝粘贴）
2 拷贝完成之后，输入:set nopaste (关闭paste)
附 paste 知识
'paste' 布尔型 (缺省关闭)
全局
{Vi 无此功能}
将 Vim 切换到粘贴模式。可用于从一个窗口剪切或复制文本并粘贴到 Vim。它
的使用会避免一些意想不到的效果。
设置此选项可用于终端上运行的 Vim，因为那里 Vim 没法区别输入和粘贴的文
本。在 GUI 里，Vim 知道何者来自粘贴，即使不打开 'paste' 也基本上不会做
错。对 Vim 能自己处理鼠标点击的终端也是如此。
启动 GUI 时复位本选项。所以如果你在 vimrc 里置位它，可以使它在终端里
工作，但不是在 GUI 里。在 GUI 里置位 'paste' 有副作用: 例如，Paste 工
具栏按钮在插入模式下不能工作，因为它使用了映射。
打开 'paste' 选项时 (包括它本来就是打开的也会如此):
- 屏蔽插入模式和命令行模式的映射
- 屏蔽缩写
- 'textwidth' 设为 0
- 'wrapmargin' 设为 0
- 'autoindent' 被复位
- 'smartindent' 被复位
- 'softtabstop' 设为 0
- 'revins' 被复位
- 'ruler' 被复位
- 'showmatch' 被复位
- 'formatoptions' 的使用方式就像它为空一样
下面这些选项保持原来的值，但没有实际的效果:
- 'lisp'
- 'indentexpr'
- 'cindent'
注意: 打开 'paste' 选项时如果你开始编辑别的文件，模式行或者自动命令可
能会再次改变这些设置，从而在粘贴文本时造成麻烦。这时，你可能需要再次置
位 'paste' 选项。
'paste' 选项复位时，上面提到的选项被复原为上次 'paste' 从关到开时的设
置。置位 'paste' 之前复位 'paste' 没有任何效果。因为 'paste' 激活时不
能用映射，'pastetoggle' 选项可以用来指定切换 'paste' 选项的热键。

---