Newsgroup: it.comp.os.linux.sys
Titolo: syslog-ng: un paio di dritte.

avete capito qual'e' la differenza tra 'facility' e 'program'
ho visto che si possono usare per i filtri e sto usando 'program'.
adesso succede che i log sono duplicati, ad esempio ho i log di postfix 
sia in un file specifico sia in /var/log/messages
ho visto che esiste una opzione 'no_facility' ... magari potrebbe 
esistere una opzione 'no'program' che non mi butta i log dentro a message???
mmmhhh .... e' bello l'opensource ma senza documentazione e' tragico da 
utilizzarsi.
-- 
Massimiliano

 utilizzarsi.
Non ti rispondero` che basta leggere i sorgenti per evitare pernacchi. 
Nel senso che di principio e` vero, istruttivo e ti rende piu` "bello di 
fama e di sventura", ma anche decisamente piu` time consuming.
Io ero riuscito a trovare alcune cose utili navigando, forse meglio 
remando, per "syslog-ng examples" su motori di ricerca.
Comunque anche la prima alternativa, una volta che uno ci abbia preso la 
mano, puo` essere praticabile.
Andrea


a parte che ho gia' sistemato tutto, ma proprio tutto, prima ancora di 
leggere la tua (inutile) risposta.
A parte che avevo detto anche io che si trova roba sparsa in giro sui 
gorum e su siti vari.
A parte che le cose ho messo io in syslog-ng.conf piu' o meno me le sono 
dovute inventare e non le ho trovate in nessun posto.
A parte che io lamentavo semplicemente la mancanza di una documentazione 
ufficiale "seria" fornita direttamente da Balabit, poiche' gli stessi, 
giustamente, sperano di poter vendere supporto.
A parte tutto questo non c'e' proprio niente da aggiundere.
p.s.: il fatto di leggersi i sorgenti mi fa semplicemente ridere! Le man 
page di hpux e aix sono esaurienti, esplicative al massimo e quelle di 
linux sono sempre un po' carenti e alcune volte inutili, ma doversi 
leggere i sorgenti per via di questa carenza mia sembra il massimo della 
ridicolaggine.
-- 
Massimiliano

 ridicolaggine.
Non ho evitato la pernacchia! :-)
No il fatto e` che non e` ridicolo, ma tragicamente vero, nel senso che 
se non trovi proprio nessuna informazioni in giro, non rimane altro modo ;-)
Andrea

 Hai voglia di condividere? Dato che ...
ok... ad esempio, non volevo che ogni volta che scarico la posta con 
thunderbird venisse duplicato il log del pop3 su 2 file o che il log di 
postfix andassa anch'esso contemporaneamente su 2 file.
Ad esemppio, questo mette i log di postfix in un file:
filter f_postfix { program("postfix"); };
destination d_mail { file("/var/log/mail/mail.log"); };
log { source(src); filter(f_postfix); destination(d_mail); };
e questo fa in modo che i log di postfix non vadano anche su 
/var/log/messages:
source src { unix-stream("/dev/log"); internal(); pipe("/proc/kmsg"); };
filter f_nolog {
         not match("nmbd")
         and not match("postfix")
         and not match("named")
         and not match("cron")
         and not match("fetchmail")
         and not match("pop3");
};
destination messages { file("/var/log/messages"); };
log { source(src); filter(f_nolog); destination(messages); };
p.s.: mi sfugge ancora il concetto di "facility"
-- 
Massimiliano


Posto quanto promesso: 2 righe:
source ft60 { udp(); };
destination ft60_log { file("/var/log/ft60.log"); };
Questo con syslog-ng (aggiunto piu` o meno a meta` di syslog-ng.conf
di default di gentoo) consente di scaricare i log di un firewall
fortinet fortigate 60 (ma credo che funzionerebbe per qualsiasi altra
pezzo di ferro rispondente alle specifiche di syslog - anche senza
cambiare un punto e virgola ).
Non c'e` bisogno di specificare porte o altro nella prima riga perche
usa quella di default di un syslog in rete.
La cosa piu` difficile e` stata convincere il fortinet con la sua
interfaccia web fighetta a cagare qualcosa. Ci si e` riusciti dopo
qualche giro, mentre per syslog-ng togliendo cose inutili, per il
fortinet ripetendogli in diversi punti della configurazione che proprio
si volevano ardentemente i suoi log.\

 usa quella di default di un syslog in rete.
Difatti credo di capire che le porte servono porte solo se vuoi usare 
TCP, ma credo che per usare TCP devi avere syslong-ng su entrambi i 
server (mi pare che gli altri syslog non abbiano questo tipo di socket).
Dopo che hai capito il meccanismo, ti rendi subito conto che sylog-ng e' 
una figata :)
-- 
Massimiliano

 server (mi pare che gli altri syslog non abbiano questo tipo di socket).
Ma veramente non credo, nel sense che se vai a vedere /etc/services
trovi questa riga:
syslog          514/udp
come anche a 
http://www.iana.org/assignments/port-numbers
Credo che gli potresti specificare anche un'altra porta non standard, ma
chiaramente dovrebbe saperlo e usarla anche la macchina che manda i log
(la possibilita` di usare il parametro e` prevista da syslog-ng).
Andrea

 Andrea
si giusto. Forse potresti avviare il demone su un'altra porta anche su 
UDP... anche se sarebbe fuori standard e non potrebbe comunicare con 
altri syslog che non hanno questa opzione.
Probabilmente, invece, la porta TCP per syslog non e' mai stata 
assegnata e per questo bisogna "inventarsela".
-- 
Massimiliano