syslogサーバ構築エラーを解決したい

Question

実現したいこと

Ubuntuサーバーの通信内容であるsyslogを別のUbuntuサーバーにインポートして復元したいと考えています。最終的にはsyslogの内容を別のサーバが認識されている状態が目標です。

発生している問題・分からないこと

現在こちらのサイトの手順に沿ってsyslogサーバを作成している最中です。
https://tech.willserver.asia/2021/11/26/%E3%80%90linux%E3%80%91ubuntu-20-04%E3%81%A7syslog%E3%82%B5%E3%83%BC%E3%83%90%E3%82%92%E6%A7%8B%E7%AF%89/?amp=1

変更箇所は以下にまとめて記載します。

該当のソースコード（Server２側）

~$ sudo vi /etc/rsyslog.conf

# /etc/rsyslog.conf configuration file for rsyslog
#
# For more information install rsyslog-doc and see
# /usr/share/doc/rsyslog-doc/html/configuration/index.html
#
# Default logging rules can be found in /etc/rsyslog.d/50-default.conf


#################
#### MODULES ####
#################

module(load="imuxsock") # provides support for local system logging
#module(load="immark")  # provides --MARK-- message capability

# provides UDP syslog reception

########変更箇所########

module(load="imtcp")　　　　		　#→コメントを外した
input(type="imtcp" port="514")　　　	　#→コメントを外した
$AllowedSender TCP, 192.168.104.144	  #→追記。Syslogを転送するネットワークを記載する。

########変更箇所########


# provides TCP syslog reception
#module(load="imtcp")
#input(type="imtcp" port="514")

# provides kernel logging support and enable non-kernel klog messages
module(load="imklog" permitnonkernelfacility="on")

###########################
#### GLOBAL DIRECTIVES ####
###########################

#
# Use traditional timestamp format.
# To enable high precision timestamps, comment out the following line.
#
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# Filter duplicated messages
$RepeatedMsgReduction on

#
# Set the default permissions for all log files.
#
$FileOwner syslog
$FileGroup adm
$FileCreateMode 0640
$DirCreateMode 0755
$Umask 0022

########変更箇所########
$PrivDropToUser syslog		
$PrivDropToGroup syslog	


########変更箇所########

#
# Where to place spool and state files
#
$WorkDirectory /var/spool/rsyslog

#
# Include all config files in /etc/rsyslog.d/
#
$IncludeConfig /etc/rsyslog.d/*.conf



$template Syslog_tmp,"/var/log/syslog/Client/messages.log"		#/var/log/syslog/fromホスト名(この場合Client)/messages.log
*.*     -?Syslog_tmp

また、Client側も以下のように変更しました。

*.*    @@192.168.104.113    #宛先を指定。この場合Server2のipアドレス

するとmessages.logに以下の出力がされました。

転送されてきたsyslogのホスト名がServer2なので正しく転送されていないと思います。
知識ある方教えていただけないでしょうか。
また見にくい、こうしたほうがいいなどアドバイスがありましたらコメントでお知らせください。都度更新します。

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

補足

特になし

Comments

[yodase_ray]

コメントが変更した箇所です。

[TaichiYanagiya]

"rsyslogd -N 1" で書式チェックをすると出力はどうなりますか？
また、Typo かもしれませんが「コメントアウト」箇所の先頭に「#」がなく、有効のままになっているようです。

[yodase_ray]

rsyslogd: version 8.2112.0, config validation run(lever 1),master config /etc/rsyslog.conf
ID for user 'adm'could not be found or error
が出力されました。

[yodase_ray]

申し訳ございません。typoの箇所はどこですか？

[ikedas]

「変更した箇所の文法がダメというエラー分(文)」の内容を具体的に示してください (このコメント欄に書くのではなく、質問文を編集して書き加えてください)。

[yodase_ray]

ごめんなさい。どこがタイプミスなのか特定できていないためとりあえずrsyslog.confの内容をそのまま載せてみますね。

[ikedas]

余談ですが、エラーメッセージは手でタイプして書き写すのではなく、コピペしたほうが間違いがないですし楽だと思います。

Answer 1

rsyslogd: version 8.2112.0, config validation run(lever 1),master config /etc/rsyslog.conf
ID for user 'adm'could not be found or error

というエラーメッセージですが、2行目は「'adm' というユーザのIDが見つからない」という意味のようです。

実際、最近のUbuntuには (わざわざ作成したのでなければ) 「adm」というユーザ名のシステムユーザはないと思います (「adm」というグループはあるはずです)。

質問者さんが変更した箇所を見ると、

$PrivDropToUser syslog
$PrivDropToGroup syslog

を

$PrivDropToUser adm
$PrivDropToGroup adm

に変えています。設定の意味は、ログの書き込み権限をここで指定したユーザとグループにするということですから、admというユーザが存在しなければエラーとなります。

ですので、admというユーザを作成することも考えられます。しかし、質問者さんの環境ではもともと存在しなかったユーザですから、そのユーザがログへ書き込める権限を持っているはずはないです (参考にしたサイトの記事の筆者の環境ではもともとこのユーザが存在し、書き込める権限も持っていたのでしょう)。

逆にいうと、参考にしたサイトの記事の筆者の環境ではログファイルなどに何らかの変更が加えられており、rsyslogの設定を上記のように変更しないとログが書き込めなくなっているのでしょう。

まずはrsyslogの設定を変えずに、正しく動作するかどうか確認してください。それで動作しない場合は、あらためて別途質問をしてください。

Answer 2

ipアドレスにポート番号の:514をつけることで転送成功しました！回答くださった方、コメントしてくださった方ありがとうございます！

Comments

[ikedas]

打ち明けると、この回答を読んで初めて「実現したいこと」で述べていることの意味がわかりました。

Answer 3

「@@」は TCP で送信する設定です。
受信側が UDP で待ち受けているので、「@」にします。
また、ネットワークプレフィックス「/24」は不要です。

*.*    @192.168.104.113

Comments

[yodase_ray]

申し訳ございません。tcpに修正するのを忘れていました。今修正します。