• [^] # Re: Utile pour les grosses infras

    Posté par . En réponse à la dépêche Projet Lumberjack. Évalué à 3.

    J'avais centralisé tous les logs (et pour seulement une trentaine de serveurs - mix OpenBSD , Debian) vers un rsyslog qui insérait tout dans une base de données dédiées.
    Ca donnait une conf du genre :

    # templates
$template auth_log,"insert into auth_log (Message, Facility,FromHost, Priority, DeviceReportedTime, ReceivedAt, InfoUnitID, SysLogTag) values ('%msg%', %syslogfacility%, '%HOSTNAME%' ,%syslogpriority%, '%timereported:::date-pgsql%', '%timegenerated:::date-pgsql%', %iut%, '%syslogtag%')",sql
# rules
:syslogtag, contains, "pf_block" :ompgsql:localhost,Syslog,rsyslog,mon_password;pf_block_log
:syslogtag, contains, "pf_block" ~

    La base de données était un "gros" Postgresql utilisant des tables partitionnées (sur le champ ReceivedAt) pour chaque type de log ( table partitionnée auth_log dans le cas de l'exemple).

    Perso, ça ne me dérange pas qu'ils changent le format des logs tant qu'on garde une telle souplesse de configuration.
    Par exemple, configurer le format d'écriture des logs reçus (on reçois du json, on écris dans un fichier dans le vieux style de log).