graylog日志收集过程举例

graylog的日志收集功与logslash类似，也是需要input-filter-output这样一个过程。

下面举三种最常用的日志记录来说明一下。

 
 

1，TCP报文日志

 
 

 
 

设置完成发现马上生效，不需要重启的

tcp6 0 0 ::1:9300 :::* LISTEN 1013/java

tcp6 0 0 :::33333 :::* LISTEN 1010/java

 
 

测试一下，任何安装nc的Linux机器上执行：

[root@node222 test]# echo `date` | nc 192.168.1.135 33333

[root@node222 test]#

 
 

查看结果，已经收到。

 
 

2，syslog日志

登录Graylog2的管理后台，就可以直接添加各种input接口。这里通过syslog UDP进行接收，所以选择syslog UDP。但是要注意一点，使用514端口会提示Permission denied,原因是Linux非root用户不能使用1024以下端口号，所以我这里设置端口号为1514。

添加以下文件

# more /etc/rsyslog.d/graylog.conf

$template GRAYLOGRFC5424,"<%pri%>%protocol-version% %timestamp:::date-rfc3339% %HOSTNAME% %app-name% %procid% %msg%\n"

*.* @192.168.1.135:1514;GRAYLOGRFC5424

重启rsyslogd

# systemctl restart rsyslog

看看效果，这个是历史记录。

 
 

3，windows日志

需要安装graylog-collector插件，可以在官网下载到。

解压后直接运行安装脚本

E:\graylog\graylog-collector-0.5.0>bin\graylog-collector-service.bat install GraylogCollector

Installing service for Graylog Collector

 
 

Service name: "GraylogCollector"

JAVA_HOME: "C:\Program Files\Java\jdk1.8.0_77"

ARCH: "x64"

 
 

Service 'GraylogCollector' has been installed

 
 

E:\graylog\graylog-collector-0.5.0>bin\graylog-collector-service.bat start GraylogCollector

Service 'GraylogCollector' has been started

 
 

E:\graylog\graylog-collector-0.5.0>

效果如图