[gelöst] ESXi 5.0 SysLog an zentralen Server schicken

[PeterDA]

Hallo
ich versuche gerade einen ESXi 5 dazu zuüberreden die SysLog Meldungen an unseren zentralen SysLog Server zu schicken.

Dazu habe ich auf dem Server im Security Profil den Hacken unter syslog gesetzt, um die Firewall freizuschalten. Und dann im ersten Versuch unter Advanced Settings/Syslog unter Syslog.global.logHost den SysLog Server eingetragen auch nach einem neustart hast das nicht gebracht.

Danach habe ich per PowerCLI mit Get-VMHost [IP des ESXi] | Set-VMHostSysLogServer -SyslogServer [IP des Syslogservers] -SysLogServerPort 514 das ganze nochmal konfiguriert. frage ich im PowerCLI nun mit Get-VMHost [IP des ESXi] | Set-VMHostSysLogServer den Syslogserver ab dann wird mir auch der richtige angegeben. Allerdings gibt es immer noch keine Meldungen auf dem zentralen Syslogserver (auch nach einem Reboot nicht).

Im lokalen Syslog Log sehe ich aber Logs und der ESXi kann den SysLog Server auch erreichen.

Einer eine Idee was ich hier falsch mache?

Gruß Peter

[mbreidenbach]

Ich habe das hier mal ausprobiert. Den ESXI's habe ich im vSphere Client unter advanced settings gesagt sie sollen ihr Zeugs zu udp://192.168.1.235:514 schicken.

Auf der entsprechenden Linux-Kiste (RHEL6 Derivat Scientific Linux) habe ich dann dem rsyslogd beigebracht das auch anzunehmen und in eigene Logfiles abzuspeichern; also in der /etc/rsyslog.conf geändert:

Code: Alles auswählen

# Provides UDP syslog reception
$ModLoad imudp.so
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp.so 
$InputTCPServerRun 514

$template DYNmessages,"/var/log/%HOSTNAME%/messages"
if $source != 'localhost' then ?DYNmessages

Damit hab ich dann unter /var/log zwei Unterverzeichnisse für die beiden ESXe.

Firewall muß das natürlich auch durchlassen.

[PeterDA]

Hi,
Das habe ich eigentlich auch so gemacht. Der SysLog Server ist halt ein WinSysLog, aber der nihmt ja schon jetzt die Meldungen der anderen Geräte an. Und als der ESXi noch ein 4.1er war ging das auch.

Sehr sehr komisch....
Werde nächste Woche mal checken ob da überhaupt was ankommt.

Gruß Peter

[PeterDA]

Hi,
so hier die Lösung, des Problems.
Es war ein Problem zwischen ESXi und dem WinSyslog. Im WinSyslog war konfiguriert "Zeitstempel aus Syslog-Meldung verwenden (RFC 3164)". Scheibar schickt der ESXi aber das nicht in diesem Format so das sich der Syslog aufhängt.

Super wiedermal zwei Tage für einen blöden Hacken verbraucht...

Gruß Peter