nginx、时间服务器、日志服务器、sudo (part1)

(第十四周作业) part1
1、搭建时间服务器，日志服务器并简述sudo安全切换。

1)搭建时间服务器：

早期是用ntp服务：

#yum install ntp

其配置文件是/etc/ntp.conf.

配置文件内容中server 表示以谁为时间服务器，restrict 表示允许哪个IP的机器来同步我的时间。如果restrict后面指定自己127.0.0.1则不允许别人来同步时间（即只是做为客户端，而不做为服务端）。

centos7以后开始使用chrony做时间服务器，chrony兼容NTP服务。监听123（传统NTP服务端口）和323（chrony服务端口），这样客户端既可以是ntp也可以是chrony。

接下来以服务端和客户端都是chrony来说明时间同步，

A机：192.168.184.136（时间服务器），B机：192.168.184.138（客户端）

root用户登录A机：

安装chrony

# yum install chrony -y

修改配置文件

# vi /etc/chrony.conf

server 0.centos.pool.ntp.org iburst

allow 192.168.184.0/24

server来指定上一级时间同步服务器，allow表示允许那个IP段以本机为时间服务器同步时间。这里指定 192.168.184.0/24网段

配置完重启chrony服务

#systemctl restart chronyd.service

#ss -tunlp 查看端口323

root用户登录B机：

安装chrony

# yum install chrony -y

修改配置文件

# vi /etc/chrony.conf

#server 0.centos.pool.ntp.org iburst

#server 1.centos.pool.ntp.org iburst

#server 2.centos.pool.ntp.org iburst

#server 3.centos.pool.ntp.org iburst

server 192.168.184.136 iburst

注释掉其他的server，配置以A机为时间服务器

然后重启客户端的chrony服务

# systemctl restart chronyd.service

# systemctl enable chronyd.service 开机自启动服务

查看同步源（时间服务器）

# chronyc sources

查看同步状态

#chronyc sourcestats

2）搭建日志服务器

为了更好的管理应用程序和操作系统的日志，使用日志服务器进行管理，我们需要用到rsyslog,它是由早期的syslog的升级版。它可以收集系统引导启动、应用程序启动、应用程序（尤其是服务类应用程序）运行过程中的事件。

记录的格式为：事件产生日期和时间主机进程PID 事件内容。

rsyslog的特性：多线程,支持TCP、UDP、SSL、TLS、RELP协议。可存储信息于日志、mysql等数据库管理系统。可以对日志信息进行过滤，可以自定义输出格式。

安装rsyslog

#yum install rsyslog

它的主程序是rsyslogd

它的配置文件是/etc/rsyslog.conf, /etc/rsyslog.d/*.conf

主配置文件rsyslog.conf 主要由三个部分组成：

MODULES 表示加载的模块列表

GLOBAL DIRECTIVES 表示全局的配置

RULES 表示日志记录规则（重点）

其中：

MODULES段的格式为

$ModLoad 模块名称

如果模块名称为im开起表示输入模块，如果以om开头表示输出模块

GLOBAL DIRECTIVES 段主要定义一些常用设置，比如：

$WorkDirectory 表示工作目录

RULES 段的格式为：

facility.priority target

其中

facility:设施，从功能上或程序上对日志收集进行分类，如：auth,authpriv,cron,daemon,kern,lpr,mail,mark,news,security,user,uucp,local0~local7,syslog

priority：优先级，日志级别,如下（从左到右，由低到高）：debug,info,notice,warn(warning),err(error),crit(critical),alert,emerg(panic)

指定级别的方式：

*：所有级别;

none:没有级别;

priority:此级别以及高于此级别的所有级别）

=priority：仅此级别;

一般要求日志级别为warn，即warn以及warn以上级别的日志要记录。

生产上一般不会开debug级别的日志，因为日志记录太多会导致io繁忙。

target:日志写入目标

文件：把日志事件写入到指定的文件中，日志文件通常位于/var/log目录下，

文件路径前面加"-"表示异步写入文件;

用户：将日志事件通知给指定的用户，通过将信息发送给登录到系统上的用户的终端进行的;

日志服务器：@host ，把日志发送到指定的服务器主机，

要保证host日志服务器在tcp或udp协议的514端口有监听并提供日志服务。

管道： | COMMAND 送到某一命令进行处理

接下来做一个日志服务器和客户端服务器，把客户端的服务内容提交到日志服务器上。

A机：192.168.184.136（日志服务器），B机：192.168.184.138（客户端）

在日志服务器（A机)上：

# yum install rsyslog

修改配置文件

# vi /etc/rsyslog.conf

# Provides UDP syslog reception

$ModLoad imudp

$UDPServerRun 514

# Provides TCP syslog reception

$ModLoad imtcp

$InputTCPServerRun 514

以上配置行的注释去掉后就会开启对tcp和udp协议的514端口进行监听。

重启rsyslog服务

#systemctl restart rsyslog.service

#ss -tunl 查看有514端口监听。

在客户端服务器（B机）上

# yum install rsyslog

修改配置文件

# vi /etc/rsyslog.conf

#*.info;mail.none;authpriv.none;cron.none /var/log/messages

*.info;mail.none;authpriv.none;cron.none @192.168.184.136

把它的target 改为 @日志服务器IP

然后重启客户端的rsyslog服务

#systemctl restart rsyslog.service

这样就不会有日志记录到B机的/var/log/message中了。而是记录到日志服务器A上，由日志服务器上的配置文件决定日志记录到哪里。由我们没有改为A机上RULES 日志规则所以是写入到日志服务器上的/var/log/message（为了较好的看出效果，需要事先设置不同的主机名）

接下来把日志保存的mysql中。

在日志服务器（A机）上运行：

安装rsyslog-mysql的模块

# yum install rsyslog-mysql

查看安装文件位置

# rpm -ql rsyslog-mysql

安装mariadb数据库

# yum install mariadb-server mariadb

# vi /etc/my.cnf.d/server.cnf

[mysqld]

skip_name_resolve=ON

innodb_file_per_table=ON

启动数据库并导入数据

systemctl start mariadb.service

# mysql

mysql>GRANT ALL ON Syslog.* TO 'rsyslog'@'192.168.184.%' IDENTIFIED BY 'rsyspass';

mysql> flush privileges;

mysql>quit;

修改日志服务器上的rsyslog配置文件

# vi /etc/rsyslog.conf

#### MODULES ####

$ModLoad ommysql

#### RULES ####

*.info;mail.none;authpriv.none;cron.none :ommysql:192.168.184.136,Syslog,rsyslog,rsyspass

加载ommysql模块，并配置target为ommysql ，

后面这串内容为:ommysql:数据库主机,数据库名,数据库用户，数据库密码。

然后重启rsyslog.service

# systemctl restart rsyslog.service

在B机上登录用户和登出用户操作，再查一下A机的数据库发现有新的记录产生。

再接下来做一个WEB展示接口：

安装lamp组合

# yum install httpd php php-mysql php-gd -y

安装loganalyzer

# tar xf

# cp -r loganalyzer-4.1.7.tar.gz

# cp -r loganalyzer-4.1.7/src /var/www/html/loganalyzer

# cp -r loganalyzer-4.1.7/contirb/*.sh /var/www/html/loganalyzer/

# cd /var/www/html/loganalyzer/

# chmod +x *.sh

#./configure.sh

# service httpd start

然后通过URL访问：

http://A机IP/loganalyzer

#./secure.sh

3)sudo 安全切换

sudo 能够让获得授权的用户以另外一个用户(一般为root用户)的身份运行指定的命令

授权配置文件/etc/sudoers，但是一般使用visudo命令进行编辑。因为误操作引起系统异常。

授权配置文件的格式：

users hosts=(runas) commands

含义是，users列表中的用户（组），可以在hosts列表的位置上，以runas用户的身份来运行commands命令列表中的命令。

各个字段可能的值为：

users: sudo命令的发起用户

用户名或uid

%用户组名或%gid （这里要注意用户需把基本组切换为该用户组，才能使用sudo）

User_Alias 用户别名

hosts: 允许的地址

ip地址

主机名

NetAddr

Host_Alias 主机别名

runas: 以某一用户的身份执行

用户名或uid

Runas_Alias 用户别名

commands: 指定的命令列表

command（命令建议使用完整的绝对路径）

！command 表示禁止某一命令

nginx、时间服务器、日志服务器、sudo (part1)

推荐阅读更多精彩内容