04-Graylog. Подключение клиентов Linux.

Graylog - open source программное обеспечение, предназначенное для сбора логов с огромного количества источников различными способами.
«Центральный лог-сервер»

Graylog позволяет организовать сбор событий (логов/отчетов), фильтрацию, поиск и автоматизацию.

Подходит для Linux и Windows.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
00:00 | Принцип работы
05:07 | Создание и настройка Input
06:27 | Установка и настройка Sidecar агента
17:41 | Установка и настройка Collector-Sidecar агента

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Буду очень благодарен за поддержку в виде чашечки ☕️:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

#Graylog
#Linux
#Log

Установка Sidecar:

Агенты Sidecar и Collector:

[AeroTrail-tk]

Единственный канал где все чётко разжёвано ) Спасибо автор !

[timurzhekenev]

Блин, есть же люди, которые нормально, адекватно всё объясняют

[gian_tiaga]

Спасибо. Брилиант. Единственное место где есть хррошее объяснение

[savvy-pasha]

Спасибо за видео-уроки! Всё кратко и понятно, следуя инструкции сразу все сделал!

[alexw]

Спасибо больше за такую подробную инструкцию.
Лайк, подписка, все дела :)
А может подскажешь с такой проблемой?
Есть файл формата *.log
Практически всё сделал пошагово, как у тебя.
Но логи иногда прилетают в неверной последовательности, например в graylog я вижу так:

[2023-04-11 10:41:17]
[2023-04-11 10:41:11]
[2023-04-11 10:41:13]
А в самом файле расположение такое:
[2023-04-11 10:41:17]
[2023-04-11 10:41:13]
[2023-04-11 10:41:11]
Пробовал scan_frequency поставить 1s(меньше вроде не советуют), в инпуте поставил number_worker_threads: 1, попробовал type сменить на filestream, но всё равно иногда проскакивает неверный порядок.
Я уже в отчаянии, может есть какая догадка у тебя?

[andreim]

Спасибо, а возможно продолжение по парсигу и настройке алертов ?

[andrewkopytov]

Спасибо за подробную информацию! Вопрос такой, я правильно понимаю что сколько устройств столько и inputs? В частности мне нужно собирать информацию с разных коммутаторов Cisco. Для каждого нужно создавать отдельный input со своим портом, верно? Просто иначе я не представляю как можно отсортировать сообщения поступающие с разных устройств на 1 input

[Buffon_deadly]

Спасибо большое, пожалуйста расскажите в след видео про парсинг логов, extractor, grok pattern, буду очень сильно признателен

[timurzhekenev]

А можно какое-нибудь видео по созданию дашбордов?

[akobirerkinov]

Всё сделал по инструкции, но в момент запуска graylog-sidecar выходит ошибка (code=exited, status=1/FAILURE). До этого пробовал устанавливать Прометеус там такая же байда была...

Не понимаю из-за чего это происходит. Посмотрел порты открыты, файволл отключил ради пробы, всё равно эта ошибка и не запускается вообще sidecar

[asdmccormic]

жаль про gelf ничего нет. видимо драйвер логов. где его искать в гугле не нашел

[annonymous]

@RomNero а можете сделать видео по пайплайнам, как с ними правильно работать и как настроить graylog tcp syslog output. Был бы Вам признателен. А также рассказать про индексы эластика и как с ними работать =)

[sliperx]

Привет, спасибо за видео. Уже много роликов посмотрел. А graylog может визуализировать логи ? Например как grafana или наподобие ? Если нет, то можно как-то интегрировать grafana для лучшей визуализации данных ?

[azefootball]

Здравствуйте, спасибо за видео, но у мен я возникла проблема… в разделе sidecars пусто, причем сам сервис на клиенте у меня работает без проблем, туда я написал айпи грейлога и токен, собственно как на видео, можете сказать в чем может быть проблема

[Алексей-есж]

Привет! А если несколько серверов Graylog, то что пишется в sidecar.yml в директиве server_url ????

[sergeyalekseev]

Большое спасибо! Очень полезно! Один вопрос - если стоит задача сделать распределенную систему Graylog (4 офиса, они соединены друг с другом, хотелось бы, чтобы серверы в каждом офисе загружали свои логи в свой "локальный" graylog (на случай потери связи между офисами, чтобы логи продолжали писаться), но все логи были видны из одного интерфейса) - как это лучше сделать?