Cómo instalar Graylog Server en Ubuntu 16.04

• Prerrequisitos
• Instalar Java
• Instalar Elasticsearch
• Instalar MongoDB
• Instalar el servidor Graylog
• Configurar Graylog
• Configure Nginx como un proxy inverso
• Conclusión

El servidor Graylog es un paquete de software de administración de registros de código abierto listo para la empresa. Recopila registros de varias fuentes y los analiza para descubrir y resolver problemas. El servidor Greylog es básicamente la combinación de Elasticsearch, MongoDB y Graylog. Elasticsearch es una aplicación de código abierto muy popular para almacenar texto y proporcionar capacidades de búsqueda muy potentes. MongoDB es una aplicación de código abierto para almacenar datos en formato NoSQL. Graylog recopila registros de varias fuentes y proporciona un tablero basado en la web para administrar y buscar a través de los registros. Graylog también proporciona una API REST para configuración y datos. Proporciona un tablero configurable que se puede utilizar para visualizar métricas y observar tendencias mediante el uso de estadísticas de campo, valores rápidos y gráficos desde una ubicación central.

En este tutorial, aprenderá a instalar Graylog Server en Ubuntu 16.04. Esta guía fue escrita para Graylog Server 2.3, pero también puede funcionar en versiones más recientes. También aprenderá a instalar Java, Elasticsearch y MongoDB. También aseguraremos la instancia de MongoDB y configuraremos un proxy inverso de Nginx para el tablero de instrumentos y la API basados ​​en la web.

Prerrequisitos

• Una instancia de servidor Vultr Ubuntu 16.04 con al menos 4 GB de RAM.
• Un usuario de sudo .

En este tutorial, lo utilizaremos 192.0.2.1como la dirección IP pública del servidor y graylog.example.comcomo el nombre de dominio señalado al servidor. Reemplace todas las apariciones de 192.0.2.1con su dirección IP pública de Vultr y graylog.example.comcon su nombre de dominio real.

Actualice su sistema base utilizando la guía Cómo actualizar Ubuntu 16.04 . Una vez que su sistema ha sido actualizado, proceda a instalar Java.

Instalar Java

Elasticsearch requiere Java 8 para ejecutarse. Es compatible con Oracle Java y OpenJDK, pero siempre se recomienda utilizar Oracle Java cuando sea posible. Agregue el repositorio de Oracle Java PPA:

sudo add-apt-repository ppa:webupd8team/java

Actualice los metadatos del repositorio APT:

sudo apt update

Instale la última versión estable de Java 8, ejecute:

sudo apt -y install oracle-java8-installer

Acepte el acuerdo de licencia cuando se le solicite. Si Java se ha instalado correctamente, entonces debería poder verificar su versión.

java -version

Verá el siguiente resultado.

user@vultr:~$ java -version
java version "1.8.0_144"
Java(TM) SE Runtime Environment (build 1.8.0_144-b01)
Java HotSpot(TM) 64-Bit Server VM (build 25.144-b01, mixed mode)

Establezca el JAVA_HOMEy otros valores predeterminados mediante la instalación oracle-java8-set-default. Correr:

sudo apt -y install oracle-java8-set-default

Ejecute el echo $JAVA_HOMEcomando para verificar si la variable de entorno está establecida o no.

user@vultr:~$ echo "$JAVA_HOME"
/usr/lib/jvm/java-8-oracle

Si no obtiene el resultado que se muestra arriba, es posible que deba cerrar sesión e iniciar sesión nuevamente en el shell.

Instalar Elasticsearch

Elasticsearch es una aplicación distribuida, en tiempo real, escalable y de alta disponibilidad utilizada para almacenar los registros y buscar a través de ellos. Almacena los datos en índices y la búsqueda a través de los datos es muy rápida. Proporciona varios conjuntos de API, como la API RESTful HTTP y la API Java nativa. Elasticsearch se puede instalar directamente a través del repositorio de Elasticsearch. Agregue el repositorio Elasticsearch APT:

echo "deb https://artifacts.elastic.co/packages/5.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-5.x.list

Importe la clave PGP utilizada para firmar los paquetes. Esto asegurará la integridad de los paquetes.

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

Actualice los metadatos del repositorio APT.

sudo apt update

Instale el paquete Elasticsearch:

sudo apt -y install elasticsearch

Una vez que el paquete está instalado, abra el archivo de configuración predeterminado de Elasticsearch.

sudo nano /etc/elasticsearch/elasticsearch.yml

Encuentre la siguiente línea, descomente y cambie el valor de my-applicationa graylog.

cluster.name: graylog

Puede iniciar Elasticsearch y permitir que se inicie automáticamente en el momento del arranque:

sudo systemctl enable elasticsearch
sudo systemctl start elasticsearch

Elasticsearch ahora se está ejecutando en el puerto 9200. Verifique que esté funcionando correctamente ejecutando:

curl -XGET 'localhost:9200/?pretty'

Debería ver una salida similar a la siguiente.

[user@vultr ~]$ curl -XGET 'localhost:9200/?pretty'
{
  "name" : "-kYzFA9",
  "cluster_name" : "graylog",
  "cluster_uuid" : "T3JQKehzSqmLThlVkEKPKg",
  "version" : {
    "number" : "5.5.1",
    "build_hash" : "19c13d0",
    "build_date" : "2017-07-18T20:44:24.823Z",
    "build_snapshot" : false,
    "lucene_version" : "6.6.0"
  },
  "tagline" : "You Know, for Search"
}

Si encuentra errores, espere unos segundos y vuelva a intentarlo, ya que Elasticsearch necesita tiempo para completar su proceso de inicio. Elasticsearch ahora está instalado y funciona correctamente.

Instalar MongoDB

MongoDB es un servidor de base de datos NoSQL gratuito y de código abierto. A diferencia de la base de datos tradicional que usa tablas para organizar sus datos, MongoDB está orientado a documentos y usa documentos similares a JSON sin esquemas. Graylog utiliza MongoDB para almacenar su configuración y metainformación. Se puede instalar directamente a través del repositorio MongoDB. Importe la clave GPG utilizada para firmar el paquete. Esto asegurará la autenticidad de los paquetes.

sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv 0C49F3730359A14518585931BC711F9BA15703C6

Ahora cree el archivo de repositorio:

echo "deb [ arch=amd64,arm64 ] http://repo.mongodb.org/apt/ubuntu xenial/mongodb-org/3.4 multiverse" | sudo tee /etc/apt/sources.list.d/mongodb-org-3.4.list

Actualice los metadatos del repositorio APT.

sudo apt update

Instale el paquete MongoDB:

sudo apt -y install mongodb-org

Inicie el servidor MongoDB y permita que se inicie automáticamente.

sudo systemctl start mongod
sudo systemctl enable mongod

Instalar el servidor Graylog

Descarga y el último repositorio para el servidor Graylog.

wget https://packages.graylog2.org/repo/packages/graylog-2.3-repository_latest.deb
sudo dpkg -i graylog-2.3-repository_latest.deb
sudo apt update

Instale el paquete Graylog:

sudo apt install graylog-server

El servidor Graylog ahora está instalado en su servidor. Antes de poder iniciarlo, deberá configurar algunas cosas.

Configurar Graylog

Instale la pwgenutilidad para generar contraseñas seguras.

sudo apt -y install pwgen

Ahora genera una contraseña secreta segura.

pwgen -N 1 -s 96

Saldrá similar a:

[user@vultr ~]$ pwgen -N 1 -s 96
pJqhNbdEY9FtNBfFUtq20lG2m9daacmsZQr59FhyoA0Wu3XQyVZcu5FedPZ9eCiDfjdiYWfRcEQ7a36bVqxSyTzcMMx5Rz8v

Además, genere un hash de 256 bits para la contraseña del adminusuario raíz :

echo -n StrongPassword | sha256sum

Reemplace StrongPasswordcon la contraseña que desea establecer para el adminusuario. Ya verás:

[user@vultr ~]$ echo -n StrongPassword | sha256sum
05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223  -

Abra el archivo de configuración de Graylog:

sudo nano /etc/graylog/server/server.conf

Encuentra password_secret =, copia y pega la contraseña generada a través del pwgencomando. Encuentre root_password_sha2 =, copie y pegue el hash SHA de 256 bits convertido de su contraseña de administrador. Encuentra #root_email =, descomenta y proporciona tu dirección de correo electrónico. Descomente y configure su zona horaria en root_timezone. Por ejemplo:

password_secret = pJqhNbdEY9FtNBfFUtq20lG2m9daacmsZQr59FhyoA0Wu3XQyVZcu5FedPZ9eCiDfjdiYWfRcEQ7a36bVqxSyTzcMMx5Rz8v
root_password_sha2 = 05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223
root_email = [email protected]
root_timezone = Asia/Kolkata

Habilite la interfaz Graylog basada en web descomentando #web_enable = falsey estableciendo su valor en true. También descomente y cambie las siguientes líneas como se especifica.

rest_listen_uri = http://0.0.0.0:9000/api/
rest_transport_uri = http://192.0.2.1:9000/api/
web_enable = true
web_listen_uri = http://0.0.0.0:9000/

Guarde el archivo y salga de su editor de texto.

Reinicie y habilite el servicio Graylog ejecutando:

sudo systemctl restart graylog-server
sudo systemctl enable graylog-server

Configure Nginx como un proxy inverso

De manera predeterminada, la interfaz web de Graylog escucha en localhostel puerto 9000 y la API escucha en el puerto 9000 con URL /api. En este tutorial, utilizaremos Nginx como proxy inverso para que la aplicación pueda acceder a través del puerto HTTP estándar. Instale el servidor web Nginx ejecutando:

sudo apt -y install nginx

Abra el archivo de host virtual predeterminado escribiendo.

sudo nano /etc/nginx/sites-available/default

Reemplace el contenido existente con las siguientes líneas:

server
{
    listen 80 default_server;
    listen [::]:80 default_server ipv6only=on;
    server_name 192.0.2.1 graylog.example.com;

    location / {
      proxy_set_header Host $http_host;
      proxy_set_header X-Forwarded-Host $host;
      proxy_set_header X-Forwarded-Server $host;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Graylog-Server-URL http://$server_name/api;
      proxy_pass       http://127.0.0.1:9000;
    }
}

Inicie Nginx y permita que se inicie automáticamente en el momento del arranque:

sudo systemctl restart nginx
sudo systemctl enable nginx

Conclusión

La instalación y configuración básica del servidor Graylog ahora está completa. Ahora puede acceder al servidor Graylog en http://192.0.2.1o http://graylog.example.comsi tiene DNS configurado. Inicie sesión con el nombre de usuario adminy la versión de texto plano de la contraseña que estableció root_password_sha2anteriormente.

Felicitaciones: tiene un servidor Graylog totalmente funcional instalado en su servidor Ubuntu 16.04.