Syslog-ng 通过 TLS 到 Syslog-ng - 目的地不写入磁盘答案

【问题标题】：Syslog-ng to Syslog-ng over TLS - destination not writing to diskSyslog-ng 通过 TLS 到 Syslog-ng - 目的地不写入磁盘
【发布时间】：2022-01-19 13:56:20
【问题描述】：

尝试配置 syslog-ng 服务器以通过 TLS 将其接收到的所有日志发送到另一个 syslog-ng 服务器。两者都运行 RHEL 7。从加密和证书的角度来看，一切似乎都在工作。在日志中没有看到任何错误消息，openssl s_client 测试连接工作成功，我可以看到数据包通过我用于 TLS 的端口进入，但没有任何内容被写入第二个 syslog-ng 服务器上的磁盘。以下是我尝试将日志发送到的 syslog 服务器上的配置摘要：

来源：

source s_encrypted_syslog {
    syslog(ip(0.0.0.0) port(1470) transport("tls")
        tls(key-file("/etc/syslog-ng/key.d/privkey.pem")
        certfile("/etc/syslog-ng/cert.d/servercert.pem")
        peer-verify(optional-untrusted) 
        }
#changing to trusted once issue is fixed

目的地：

destination d_syslog_facility_f {
file("/mnt/syslog/$LOGHOST/log/$R_YEAR-$R_MONTH-$R_DAY/$HOST_FROM/$HOST/$FACILITY.log" dir-owner ("syslogng") dir-group("syslogng") owner("syslogng") group("syslogng"));

日志设置：

log { source (s_encrypted_syslog); destination (d_syslog_facility_f); };

syslog-ng 当前以 root 身份运行以排除权限问题。 selinux 当前设置为 permissive。尝试增加 syslog-ng 日志的详细程度并打开调试，但就错误或问题而言，没有看到任何突然出现在我身上的东西。奇怪的是，我在第一个 syslog-ng 服务器上有非常相似的配置，它可以很好地接收和存储日志。

另外，我应该注意上面的配置中可能有一些小错字，因为我无法复制和粘贴它。 Syslog-ng 允许我在当前加载的配置中没有错误地启动服务。它只是没有将接收到的数据写入我指定的目的地。

【问题讨论】：

标签： ssl rhel7 syslog-ng

【解决方案1】：

包过滤器经常阻止连接到系统日志端口，或者在您的情况下是端口 1470。在这种情况下，服务器成功启动，您甚至可以在同一主机上使用 openssl s_client 进行连接，但客户端将无法与服务器建立连接。

请检查您是否可以从客户端计算机实际连接到服务器（例如，通过 openssl s_client，或至少使用 netcat 或 telnet 之类的东西）。

如果连接正常，另一个问题可能是客户端没有将消息路由到此加密目的地。 syslog-ng 仅在发送消息时执行 SSL 握手。没有消息会导致连接打开，但不会真正在 TCP 级别交换数据包。

几个故障排除技巧：

您可以在服务器或客户端上使用“netstat -antp | grep syslog-ng”检查客户端和服务器之间是否存在连接。您应该会在连接的两侧看到处于 ESTABLISHED 状态的连接（当然，本地/远程地址已切换）。
检查您的数据包过滤器是否允许端口 1470 连接通过。您最有可能使用 iptables，尝试查看您的规则集并查看 TCP 上的端口 1470 是否允许在 INPUT 链中通过。您可以尝试在默认规则之前添加“LOG”规则，以查看数据包是否在该级别被丢弃。如果您已经有 LOG 规则，您可以检查服务器的内核日志以查看该 LOG 规则是否产生任何消息。
您还可以通过 tcpdump 确认服务器上是否有流量（例如 tcpdump -pen 端口 1470）。如果您将流量转储写入文件（例如 tcpdump 的 -w 参数，以及 -s 0 以避免截断），则可以使用 wireshark 分析此转储文件以查看协商是否发生。您至少应该看到在握手开始时未加密的“Client Hello”和“Server Hello”数据包。

【讨论】：