=Start=

缘由：

工作需要、学习需要，所以翻译了一下rsyslog的一篇官方文档，方便自己进行配置，记录在此也方便有需要的人进行参考。

参考解答：

概述

本文档描述了一个设置rsyslog TLS的安全方法。一个安全日志环境需要的不仅仅是加密传输通道。本文档提供了一个可能的方法来创建这样的一个安全系统。

Rsyslog的TLS认证非常灵活，从而可以支持多种安全策略。本部分试图给出一些适用于多种环境的场景的建议。然而，它可能并不适合你，所以请先评估你的安全需求再使用下面的建议。如果不提供您所需要的功能也请不要怪我们;)

我们的策略可以提供以下的安全效益：

• 消息是加密传输的
• syslog发送者需要提供认证给syslog接收者
• syslog接收者也需要提供认证给syslog发送者
• 双向认证可以预防MITM攻击

我们的安全目标是通过公私钥安全来建立的，所以，私钥的安全就至关重要了，私钥决不能被任意第三方得到。

如果私钥已经被第三方知道了，本系统不提供任何安全保证。另外，我们的解决方案基于X.509证书和一个（非常有限的）信任链。我们有一个CA记录了所有机器的证书。我们通过机器上的证书来鉴别机器的身份。在理论和实践上，可能有几个“sub-CA”为特定的adminitrative域分发证书，但并不包括在我们这个“简单又安全”的设置中。如果你打算使用这个方案，rsyslog会支持它，但你需要自己深入查阅文档（或通过论坛提问）。一般来说，如果你不使用我们的简单模型，你应该要有很好的理由（知道自己为什么这么做），清楚的知道你自己在做什么，否则可能会影响您整体的系统安全。

请注意，安全是需要努力才能达到的。在本文描述的场景中，我们尽量减少了需要的努力。剩下的就是一些对中央CA的设置，为各机器配置证书以及少量的配置命令的工作。在我们的配置过程中最大的限制性因素可能是——所有发送方和接收方必须支持IETF的syslog-transport-tls标准（尚未完成）。我们使用mandatory-to-implement技术，但你可能很难找到一个完成了所有需要功能的实现。更常见的不幸是，你会发现一个完全不支持即将到来的IETF标准的实现——特别是在“早期”(从2008年5月开始)当rsyslog是所谓标准的唯一实现。

幸运的是，rsyslog几乎支持所有的syslog协议。所以在发送方transport-tls不可用的情况下，我们推荐使用rsyslog作为最初的中继器。在这种模式下，not-capabe发送方通过另一个协议发送给rsyslog，然后通过transport-tls中继器将消息传递给另一个临时中继器或最终目的地（当然，这必须具有transport-tls能力）。在这种情况下，最好先试试看发送者能够支持哪些协议。也许可以使用行业标准——普通的tcp syslog。通常你甚至可以把它与stunnel结合，然后就可以把消息安全交付给第一个rsyslog中继器。如果上述条件都不满足，你可以(通常是必须…)诉诸于UDP。尽管这可能出现丢包并且也不安全，但这总比完全没有接收能力要好。它甚至可能是安全的，当uncapable发送者和第一个rsyslog中继器是通过私有网络通信的时候，如专用的网络链接。

最后一个警告：transport-tls只能保护发送者和接收者之间的连接，它没法防止存在于消息本身的攻击。特别是在中继环境中，消息可能是来源于一个恶意的系统，将无效的主机名和/或其他内容混在一起。如果没有提供这样的东西，这些记录可能出现在接收者的存储库中。transport-tls不能防止这种（但它可能对正确使用起到一定帮助）。谨记，syslog-transport-tls只能提供点到点的安全，它不保证端到端的安全，同时它并不验证消息本身（只是最后一个发送者）。

如果你想快速获取所有信息，可以看下面的图片，它包含了所有你需要知道的内容（从证书透视的角度来看）。如果你感到疑惑也不用觉得奇怪，在这种情况下，你可以看看完整的说明。

操作步骤

总结

在这个例子中您已经了解了其中涉及到的安全决策。但我们还是要再次提醒你必须确保你所做的能够满足你自己的安全需求。因为我们没法百分百保证我们讲的对你也是有用的，它可能并不适用于你的环境。

在这个例子中，我们创建了一个rsyslog证书颁发机构（CA）。保护CA的文件。当你需要为新机器颁发证书的时候你会需要他们。同时我们也看到自己如何生成机器证书和将它们分发给各个机器。同样，你发现了一些配置服务器、客户端和syslog中继器的样例。希望，这能使你在许多环境中建立一个类似的系统。

重要提示，你在生成证书的时候有设置一个过期时间，当超过过期时间的时候，证书就不再有效了，rsyslog也就不会接受它们，此时syslog消息就不会被传递出去（rsyslogd的压力会很大）。因此请记得在证书过期之前重新申请一下。在某个地方设置一个提示会是一个好办法。

参考链接：

• rsyslog的安装(v8-stable)
  http://www.rsyslog.com/downloads/download-v8-stable/
  http://www.rsyslog.com/rhelcentos-rpms/
• Encrypting Syslog Traffic with TLS (SSL)
  http://www.rsyslog.com/doc/v8-stable/tutorials/tls_cert_summary.html
  http://www.rsyslog.com/doc/tls_cert_server.html
• Reliable Forwarding of syslog Messages with Rsyslog
  http://www.rsyslog.com/doc/v8-stable/tutorials/reliable_forwarding.html
• http://www.178linux.com/?s=rsyslog
• ELK stack实战之结合rsyslog分析系统日志(auth.log)
  http://blog.csdn.net/Gamer_gyt/article/details/52701067
• Linux 之 rsyslog 系统日志转发
  http://www.cnblogs.com/hanyifeng/p/5463338.html
• CentOS上配置rsyslog客户端用以远程记录日志
  https://linux.cn/article-4835-1.html

=END=