Schöner loggen mit syslog-ng und Log@min samt Webinterface

Jeder, der mehrere Linux-Server unter seiner Verwaltung hat, kennt sicher das Problem namens Logfiles. Sie fallen zu Dutzenden an und müssen in regelmäßigen Abständen kontrolliert werden. Denn ohne diese stetigen Sichtungen blieben die meisten Bugs, Sicherheitslöcher und andere Hard- und Softwareprobleme mit Sicherheit unentdeckt. Während natürlich bei 1-2 Servern locker von Hand die gängigen Logfiles unter /var/log durchgesehen werden können, stellt dies bei beispielsweise 50 Servern ein echtes Problem dar. Denn kein Admin hat Zeit und Lust, hier täglich die Logfiles zu checken und nach Problemen zu schauen.

Aber natürlich gibt es dafür Abhilfe. So steht unter Linux beispielsweise syslog-ng bereit, womit man die Logfiles ohne viel Aufwand auf einen zentralen Loghost lenken kann. Das ist schonmal die halbe Miete, allerdings entsteht hier schnell das Problem mangelnder Übersichtlichkeit. Schließlich kommen bei ein paar dutzend Servern schnell mehrere zehntausend (!) Log-Einträge pro Tag zusammen. Die hat man dann zwar zentral auf einem Server liegen, kann aber anhand der Masse dennoch keine einzelnen Einträge sinnvoll filtern. Glücklicherweise kann man syslog-ng aber recht einfach dazu bringen, die ankommenden Log-Zeilen in eine Datenbank zu schreiben - hier kommt MySql zum Einsatz, andere DB-Server sollten aber ebenso funktionieren.

Um die Datensätze aus der DB übersichtlich via Web darzustellen, waren hier testweise diverse Webinterfaces für syslog-ng im Einsatz. So richtig überzeugen konnte allerdings Keines davon. Teils waren sie zu langsam, teils zu unübersichtlich. Deshalb haben wir uns entschlossen, ein eigenes Interface in PHP zu schreiben, welches die Daten aus der MySql-DB ausliest. Darin ist es problemlos möglich, nach einzelnen Hosts, bestimmten Events (Alert's z.B.), Programmen (Postfix, Apache etc.) oder Zeiträumen zu filtern. Auf dem Screenshot ist beispielsweise zu sehen, was das PHP-Plugin "Suhosin" an sicherheitsrelevanten Ereignissen auf mehreren Webservern abgefangen hat. Nett ist auch die Livelog-Funktion, die via AJAX immer die neusten Logs auf den Schirm bringt. Quasi ein tail -f auf alle Logfiles via Web ...

Und weil die Anwendung recht hilfreich ist, stellen wir sie natürlich der Allgemeinheit gern zur Verfügung. Eine detaillierte Anleitung meines Kollegen Ronny Tiebel zur Installation samt Downloads findet sich wie gewohnt drüben im AdminWiki. Fragen und Probleme können hier gern aufgegriffen werden.