Zentraler Logserver mit Syslog-NG, MariaDB und lggr.io Webinterface

lggr.io ist ein schnelles und einfaches Webinterface für syslog-ng. Wer keinen ELK-Stack mit Java benötigt findet mit lggr.io eine gute Alternative.
Läuft bei mir in einer Debian 9 VM mit 2 GB RAM und ca. 15 loggenden hosts (Server, Router, Switche) ohne Probleme.

benötigte Software:

  • Apache, MariaDB, PHP, Redis, Syslog-NG

In der Anleitung der lggr.io howto wird noch stunnel installiert. Kommt bei mir aber nicht zum Einsatz.

30.04.2019 – Anleitung aktualisiert (Fehler beim Datenbanknamen in der db.conf)
15.07.2018 – Anleitung aktualisiert
28.06.2018 – Server Setup: Debian 9.4 / Apache 2.4 / MariaDB 10.1 / PHP 7.0 / syslog-ng 3.8

Apache

$ apt install -y apache2

Die Apache Module headers und expires werden benötigt.

$ a2enmod headers expires

Apache neu starten.

$ systemctl restart apache2

PHP

$ apt install -y php7.0 php7.0-mysql

PHP Zeitzone setzen.

$ vi /etc/php/7.0/apache2/php.ini
$ vi /etc/php/7.0/cli/php.ini
date.timezone = Europe/Berlin

Redis

$ apt install -y php-redis redis-server

Redis Server Status überprüfen.

$ systemctl status redis-server
● redis-server.service - Advanced key-value store
   Loaded: loaded (/lib/systemd/system/redis-server.service; enabled; vendor preset: enabled)
   Active: active (running) since Sun 2017-03-12 16:58:41 CET; 10min ago
     Docs: http://redis.io/documentation,
           man:redis-server(1)
  Process: 2834 ExecStopPost=/bin/run-parts --verbose /etc/redis/redis-server.post-down.d (code=exited, status=0/SUCCESS)
  Process: 2831 ExecStop=/bin/kill -s TERM $MAINPID (code=exited, status=0/SUCCESS)
---SNIP---

Bug – Beim Aufruf des lggr.io Webinterfaces erscheint eventuell eine Redis Fehlermeldung.

Redis server went away

Bug – Wenn es mit dem Redis Server Probleme gibt, können wir in der  lggr_class.php LggrCacheRedis auf File ändern.

$ vi /var/www/html/logger/inc/lggr_class.php
// $this->cache = new LggrCacheRedis();
$this->cache = new LggrCacheFile();

lggr.io Webinterface

$ cd /var/www/html
$ apt install -y git
$ git clone https://github.com/kkretsch/lggr.git logger

Das lggr Webinterface benutzt mehrere 3rd party libraries, wie jquery und bootstrap.
Die Pakete sind in den GIT Quellen nicht enthalten und müssen separat heruntergeladen werden.

$ wget https://lggr.io/wp-content/uploads/2015/06/lggr_contrib.tar.gz
$ tar xvfz lggr_contrib.tar.gz -C /var/www/html/logger

In der inc/config_class.php wird auf den Ordner contrib verwiesen. Ggf. die Pfade anpassen.

/* local storage */
               $this->setUrlBootstrap('/logger/contrib/bootstrap/');
               $this->setUrlJquery('/logger/contrib/jquery/');
               $this->setUrlJqueryui('/logger/contrib/jqueryui/');
               $this->setUrlJAtimepicker('/logger/contrib/timepicker/');
               $this->setUrlChartjs('/logger/contrib/chartjs/');
               $this->setUrlJQCloud('/logger/contrib/jqcloud/');

Der Zugriff auf das Webinterface wird mit der basic authentication geschützt.
In der .htaccess Datei ist das authfile /var/www/webuser angegeben. Wir erstellen die Datei und legen den Zugriff für den Benutzer logger an.

$ htpasswd -c /var/www/webuser logger

Apache .htaccess aktivieren

$ vi /etc/apache2/sites-available/000-default.conf
<VirtualHost>
        # basic authentication für das logger Verzeichnis
        <Directory /var/www/html/logger/>
        AllowOverride All
        </Directory>
</VirtualHost>

Der webuser benötigt Schreibzugriff auf das logger cache Verzeichnis.

$ chown www-data:www-data /var/www/html/logger/cache/

Bug – Archivieren funktioniert nicht. In der Datei js/lggr.js stimmen zwei Pfade zur do.php nicht!

$('div.datablock').on('click', 'span.lggr-archived', function() {
               /* url: '/do.php?a=unarchive', */
               url: './do.php?a=unarchive',

$('div.datablock').on('click', 'span.lggr-notarchived', function() {
               /* url: '/do.php?a=archive', */
               url: './do.php?a=archive',

Bug – Bei dem Relative Verteilung der Level Chart, ist die Farbe der Errors blau, sollte aber rot sein. In der Datei js/lggr_stat_data.php fehlt ein #.

/* define(‘COLORALERT’, ‘d9534f’); # fehlt */
define(‘COLORALERT’, ‘#d9534f’);

MariaDB Server und Client

$ apt install -y mariadb-server mariadb-client

Datenbank logger erstellen.

$ mysql -u root -p
MariaDB [(none)]> CREATE DATABASE logger;
MariaDB [(none)]> quit

Die user.sql anpassen.

$ vi /var/www/html/logger/doc/user.sql

# create the following three mysql users:
# used by syslog-ng for inserting new data, referenced in /etc/syslog-ng/conf.d/08lggr.conf
GRANT INSERT,SELECT,UPDATE ON logger.* TO logger@localhost IDENTIFIED BY 'SET_PASSWORD';

# used by the web gui for normal viewing, referenced in inc/config_class.php
GRANT SELECT ON logger.* TO logviewer@localhost IDENTIFIED BY 'SET_PASSWORD';

# used by clean up cron job and for archiving, referenced in inc/adminconfig_class.php
GRANT SELECT,UPDATE,DELETE ON logger.* TO loggeradmin@localhost IDENTIFIED BY 'SET_PASSWORD';
GRANT SELECT,INSERT ON TABLE logger.servers TO loggeradmin@localhost;

# activate changes
FLUSH PRIVILEGES;

Datenbanknamen in der db.sql anpassen.

-- Exportiere Datenbank Struktur für lggr
CREATE DATABASE IF NOT EXISTS `logger` /*!40100 DEFAULT CHARACTER SET latin1 */;
USE `logger`;

Die Tabellen in der Datenbank logger anlegen.

$ mysql -u root -p logger < /var/www/html/logger/doc/db.sql

Die angelegten Benutzer in der user.sql im Datenbankserver anlegen.

$ mysql -u root -p < /var/www/html/logger/doc/user.sql

Die in der user.sql gesetzten Namen und Passwörter in den beiden config Dateien anpassen.

$ vi /var/www/html/logger/inc/config_class.php
class Config extends AbstractConfig {

        function __construct() {
                $this->setDbUser('logviewer');
                $this->setDbPwd('SET_PASSWORD');
                $this->setDbName('logger');

                // Set your preferred language en_US, de_DE, or pt_BR
                $this->setLocale('de_DE');

$ vi /var/www/html/logger/inc/adminconfig_class.php
class AdminConfig extends AbstractConfig {

        function __construct() {
                $this->setDbUser('loggeradmin');
                $this->setDbPwd('SET_PASSWORD');
                $this->setDbName('logger');
        } // constructor

Bug – Die Tabellennamen in der db.sql sind alle lowercase, aber im PHP Code teilweise gemischt!. Fehlermeldung: Table ‚lggr.Today‘ doesn’t exist
In der /etc/mysql/mariadb.conf/50-server.cnf unter dem Abschnitt [mysqld] folgenden Eintrag hinzufügen:

lower_case_table_names = 1

syslog-ng Server

$ apt install -y syslog-ng libdbd-mysql

Im Konfigurationslayout von Syslog-NG werden alle .conf Dateien unter /etc/syslog-ng/conf.d/ verarbeitet.
Die Hauptkonfigurationsdatei muss also nicht mehr verändert werden. Konfigurationsdatei für lggr erstellen.

$ vi /etc/syslog-ng/conf.d/08logger.conf

filter f_no_debug { not level(debug); };

options {
keep_hostname(yes);
};

source s_net {
udp( port(514) log-iw-size(2000) );                                        
};

destination d_newmysql {
sql(
flags(dont-create-tables,explicit-commits)
session-statements("SET NAMES 'utf8'")
flush_lines(10)
flush_timeout(5000)
local_time_zone("Europe/Berlin")
type(mysql)
username("logger")          <= DB user setzen!
password("SET_PASSWORD")    <= DB password setzen!
database("logger")          <= DB name setzen!
host("localhost")
table("newlogs")
columns("date", "facility", "level", "host", "program", "pid", "message")
values("${R_YEAR}-${R_MONTH}-${R_DAY} ${R_HOUR}:${R_MIN}:${R_SEC}", "$FACILITY", "$LEVEL", "$HOST", "$PROGRAM", "$PID", "$MSGONLY")
indexes()
);
};

log {
source(s_net); source(s_src); filter(f_no_debug); destination(d_newmysql);
};

Noch eine Anpassung in der default syslog-ng Konfiguration.

$ vi /etc/default/syslog-ng:
SYSLOGNG_OPTS="-–no-caps"

Syslog-ng neu starten.

$ systemctl restart syslog-ng

syslog-ng Clients

Dafür kann auch hier syslog-ng installiert und genutzt werden.

$ apt install syslog-ng

Wir erstellen die Datei /etc/syslog-ng/conf.d/10logger-client.conf mit folgendem Inhalt.

destination d_net { udp("IP-OF-LOGGER-HOST" port(514) log_fifo_size(1000)); };
log { source(s_src); destination(d_net); };

Es kann aber auch der schon vorhandene rsyslog genutzt werden! Dazu in der /etc/rsyslog.conf als ersten Eintrag hinzufügen.

*.* @IP-OF-LOGGER-HOST            # UDP auf den default Port 514

Nach Änderungen der Konfiguration auch hier natürlich den entsprechenden Dienst neu starten.

$ systemctl restart syslog-ng
$ systemctl restart rsyslog

syslog-ng debugging

Nach dem anlegen der zwei *.conf Dateien startete syslog-ng nicht mehr!
Um herauszubekommen wo genau der Fehler liegt lässt sich syslog-ng im debug Modus starten.

$ syslog-ng -Fevd
Starting to read include file; filename='/etc/syslog-ng/conf.d/08logger.conf', depth='1'
Error parsing config, syntax error, unexpected LL_IDENTIFIER in /etc/syslog-ng/conf.d/08logger.conf at line 4, column 1:
                                                  included from /etc/syslog-ng/syslog-ng.conf line 163, column 1

keep_hostnames(yes);
^^^^^^^^^^^^^^

locales

Der Server muss die richtige Systemsprache installiert haben. Der Befehl locale -a sollte mindestens en_US.utf8 und ggf. de_DE.utf8 ausgeben.

$ locale -a
C
C.UTF-8
de_DE.utf8
en_US.utf8
POSIX

cronjobs

Für die Wartungsarbeiten erstellen wir die Datei /etc/cron.d/lggr mit folgendem Inhalt:

# on default it keeps the last 4 weeks of entries, to purge old messages run admin/cron.php daily
# 4 Wochen werden die letzten Einträge gespeichert, ältere löschen (täglich um 01:30 Uhr)
30 1 * * * www-data /usr/bin/php /var/www/html/lggr/admin/cron.php

# to prepare server id/name relations run admin/cron_often.php every minute
# Server ID/Namen in die Tabelle logger.servers schreiben/updaten (alle 5 Minuten)
*/5 * * * * www-data /usr/bin/php /var/www/html/lggr/admin/cron_often.php

Das Zeitintervall für die automatische Bereinigung alter Einträge finden wir in der Datei inc/lggr_class.php

/* delete anything older than maxage hours, or 4 weeks */
function purgeOldMessages($maxage = 672) {

Ich setze das bei mir auf 2 Wochen, mehr benötige ich nicht. Hält die Datenbank schlank und schont Ressourcen.

/* delete anything older than maxage hours, or 2 weeks (336 Stunden = 14 Tage = 2 Wochen) */
function purgeOldMessages($maxage = 336) {

Fazit

Die Installation ist schon ein bisschen tricky und nicht mal eben in 5 Minuten erledigt.
Wer die Mühe aber nicht scheut wird mit einem stabilen zentralen Syslog Server und schönem Webinterface belohnt. :)

18 Gedanken zu “Zentraler Logserver mit Syslog-NG, MariaDB und lggr.io Webinterface”

  1. Hi

    bei mir sieht es aktuell aus als hätte es ein 3 Jähriger erstellt, das Contrib Paket habe ich heruntergeladen und extrahiert, sieht allerdings immer noch unschön aus. Muss da noch weiteres eingestellt werden? Alles Dienste laufen.

    Gruß

    • In der inc/config_class.php wird auf den Ordner contrib verwiesen. Stimmen die Pfade?

      /* local storage */
      $this->setUrlBootstrap(‚/contrib/bootstrap/‘);
      $this->setUrlJquery(‚/contrib/jquery/‘);
      $this->setUrlJqueryui(‚/contrib/jqueryui/‘);
      $this->setUrlJAtimepicker(‚/contrib/timepicker/‘);
      $this->setUrlChartjs(‚/contrib/chartjs/‘);
      $this->setUrlJQCloud(‚/contrib/jqcloud/‘);

  2. Hallo,
    ich muss mich hier Jörgs Aussage anschliessen, die Ansicht sieht sehr bescheiden aus und die Pfade sind bei mir richtg gesezt. In meinem Fall auf /var/www/contrib..
    Gibt es noch irgendwelche Module die für PHP zusätzlich benötigt werden?

    Vielen Dank im Voraus TBC

  3. Hallo zusammen,
    der Fehler ist jetzt gefunden, ich habe das Verzeichnis contrib nach /var/www/html/ verschoben. Also eine ebene tiefer und jetzt geht alles wie es soll.
    Wünschenswert ist auch noch eine Filterung nach „Hosts“ evtl. kann man dies auch noch einbauen.

    Merci für die Super Beschreibung, diese hat sehr geholfen!

    MfG TBC

  4. Hallo, Habe mir den lggr.io auf einen Raspberry installiert. Habe allerdings Probleme mit der Datenbank. Bekomme immerwieder Schwierigkeiten, dass die DB case-sensitive ist. Das heist ich benötige Tabellen mit z.Bsp. Archived und archived oder LastHour , Lasthour und lasthour. Ist das ein Problem welches nue ich habe?
    Gruß Wolfgang

    • Schau dir mal in der inc/lggr_class.php die SQL Statements an.
      Ich kann mich daran erinnern da auch schonmal Anpassungen an den Namen der Tabellen gemacht zu haben.

  5. Hallo Wolfgang,
    das Problem mit der case-sensitive MariaDB hatte ich auch unter Debian 9.
    Lässt sich in der MySQL-Konfiguration beheben. Bei mir unter „/etc/mysql/mariadb.conf.d“ in der Datei „50-server.cnf“ unterhalb der Sektion [mysqld] folgendes einfügen:
    lower_case_table_names = 1
    Funktionierte nach dem Reboot einwandfrei.
    Gruß Ralf

  6. Hey,
    nachdem ich mysql -u root -p < /var/www/html/logger/doc/user.sql ausgeführt habe bekomme ich folgenden Output: ERROR 1146 (42S02) at line 10: Table 'logger.servers' doesn't exist.
    Wie kann ich das beheben?
    Gruß N3x

    • Habs gerade mal ausprobiert, ich bekomme auch den Fehler! :(

      In der db.sql den Datenbanknamen anpassen (von lggr auf logger):

      CREATE DATABASE IF NOT EXISTS `logger`;
      USE `logger`;

      Die lggr und logger SQL Datenbanken löschen, logger neu erstellen und nochmal ausführen.
      Damit hats dann ohne Fehlermeldung funktioniert.

      Anleitung hab ich aktualsiert. ;)

  7. Hi alles soweit ok aber folgende fehler kommen bei dir auf :

    Beim Aufruf der Webseite:

    You must enable basic authentication

    Bei starten Restart vom:

    syslog-ng.service - System Logger Daemon
    Loaded: loaded (/lib/systemd/system/syslog-ng.service; enabled; vendor preset: enabled)
    Active: failed (Result: exit-code) since Wed 2019-05-22 10:45:23 CEST; 5s ago
    Docs: man:syslog-ng(8)
    Process: 12054 ExecStart=/usr/sbin/syslog-ng -F $SYSLOGNG_OPTS (code=exited, status=1/FAILURE)
    Main PID: 12054 (code=exited, status=1/FAILURE)
    Status: "Starting up... (Wed May 22 10:45:23 2019"

    Kannst du mir paar tipps geben?

    • Dann hast du beim Apache die basic authentication nicht aktiviert.

      Starte mal syslog-ng mit debugging, dann sollte er dir den Fehler ausgeben.
      $ syslog-ng -Fevd

      Steht alles in meiner Anleitung. ;)

  8. Ich möchte lggr und syslog-ng gerne als meinen lokalen Log-Server nutzen. Dazu habe ich damit begonnen das Dockerimage weiter zu entwickeln. Wenn es jemanden gibt, der Ähnliches schon gemacht hat, freue ich mich über eine Kontaktaufnahme :)

    Wäre doch schön, wenn man den installationsvorgang vereinfachen und noch mehr Leuten diese tolle Oberfläche zur Verfügung stellen könnte.

    VG
    Hendrik

  9. Ist noch nicht ganz fertig.Habe selber noch Schwierigkeiten lggr (auch ohne) Docker zum Laufen zu bringen.
    Melde mich, wenn ich nicht weiterkomme oder mit dem Ergebnis in wenigen Tagen!

Schreibe einen Kommentar