Comment installer Graylog Server sur CentOS 7

• Conditions préalables
• Installer Java
• Installer Elasticsearch
• Installer MongoDB
• Installer le serveur Graylog
• Configurer Graylog
• Configurer Nginx comme proxy inverse
• Configurer le pare-feu et SELinux
• Conclusion

Le serveur Graylog est une suite logicielle de gestion des journaux open source prête pour l'entreprise. Il collecte les journaux de diverses sources et les analyse pour découvrir et résoudre les problèmes. Le serveur Graylog est essentiellement la combinaison d'Elasticsearch, MongoDB et Graylog. Elasticsearch est une application open source très populaire pour stocker du texte et fournir des capacités de recherche très puissantes. MongoDB est une application open source pour stocker des données au format NoSQL. Graylog collecte des journaux de diverses sources et fournit un tableau de bord basé sur le Web pour gérer et rechercher dans les journaux. Graylog fournit également une API REST pour la configuration et les données. Il fournit un tableau de bord configurable qui peut être utilisé pour visualiser les mesures et observer les tendances en utilisant des statistiques de terrain, des valeurs rapides et des graphiques à partir d'un emplacement central.

Dans ce didacticiel, vous apprendrez à installer Graylog Server sur CentOS 7. Ce guide a été écrit pour Graylog Server 2.3, mais peut également fonctionner sur des versions plus récentes. Vous apprendrez également à installer Java, Elasticsearch et MongoDB. Nous allons également sécuriser l'instance MongoDB et configurer un proxy inverse Nginx pour le tableau de bord et l'API Web.

Conditions préalables

• Une instance de serveur Vultr CentOS 7 avec au moins 4 Go de RAM.
• Un utilisateur sudo .

Dans ce didacticiel, nous utiliserons 192.0.2.1l'adresse IP publique du serveur et graylog.example.comle nom de domaine pointé vers le serveur. Remplacez toutes les occurrences de 192.0.2.1par votre adresse IP publique Vultr et graylog.example.compar votre nom de domaine réel.

Mettez à jour votre système de base à l'aide du guide Comment mettre à jour CentOS 7 . Une fois votre système mis à jour, installez Java.

Installer Java

Elasticsearch nécessite Java 8 pour fonctionner. Il prend en charge Oracle Java et OpenJDK, mais il est toujours recommandé d'utiliser Oracle Java lorsque cela est possible. Oracle fournit des packages RPM prêts à installer. Téléchargez le RPM Oracle JDK:

wget --no-cookies --no-check-certificate --header "Cookie:oraclelicense=accept-securebackup-cookie" "http://download.oracle.com/otn-pub/java/jdk/8u144-b01/090f390dda5b47b9b721c7dfaa008135/jdk-8u144-linux-x64.rpm"

Installez le package RPM.

sudo yum -y install jdk-8u144-linux-x64.rpm

Si Java a été installé avec succès, vous devriez pouvoir vérifier sa version.

java -version

Vous verrez la sortie suivante.

[user@vultr ~]$ java -version
java version "1.8.0_144"
Java(TM) SE Runtime Environment (build 1.8.0_144-b01)
Java HotSpot(TM) 64-Bit Server VM (build 25.144-b01, mixed mode)

Définissez JAVA_HOMEet JRE_HOMEvariable d'environnement en exécutant:

echo "export JAVA_HOME=/usr/java/jdk1.8.0_144/" >> ~/.bash_profile
echo "export JRE_HOME=/usr/java/jdk1.8.0_144/jre" >> ~/.bash_profile

Maintenant, sourcez le fichier à l'aide de la commande suivante.

source ~/.bash_profile

Exécutez la echo $JAVA_HOMEcommande pour vérifier si la variable d'environnement est définie ou non.

[user@vultr ~]$ echo $JAVA_HOME
/usr/java/jdk1.8.0_144/

Installer Elasticsearch

Elasticsearch est une application distribuée, en temps réel, évolutive et hautement disponible utilisée pour stocker les journaux et les parcourir. Il stocke les données dans des index et la recherche dans les données est très rapide. Il fournit différents ensembles d'API, tels que l'API HTTP RESTful et l'API Java native. Elasticsearch peut être installé directement via le référentiel Elasticsearch. Créez un nouveau fichier de référentiel pour Elasticsearch.

sudo nano /etc/yum.repos.d/elasticsearch.repo

Remplissez le fichier avec le contenu suivant.

[elasticsearch-5.x]
name=Elasticsearch repository for 5.x packages
baseurl=https://artifacts.elastic.co/packages/5.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md

Importez la clé PGP utilisée pour signer les packages. Cela garantira l'intégrité des packages.

sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch

Installez le package Elasticsearch:

sudo yum -y install elasticsearch

Une fois le package installé, ouvrez le fichier de configuration par défaut d'Elasticsearch.

sudo nano /etc/elasticsearch/elasticsearch.yml

Recherchez la ligne suivante, décommentez-la et modifiez la valeur de my-applicationà graylog.

cluster.name: graylog

Vous pouvez démarrer Elasticsearch et l'activer pour démarrer automatiquement au démarrage:

sudo systemctl enable elasticsearch
sudo systemctl start elasticsearch

Elasticsearch s'exécute maintenant sur le port 9200. Vérifiez qu'il fonctionne correctement en exécutant:

curl -XGET 'localhost:9200/?pretty'

Vous devriez voir une sortie similaire à la suivante.

[user@vultr ~]$ curl -XGET 'localhost:9200/?pretty'
{
  "name" : "-kYzFA9",
  "cluster_name" : "graylog",
  "cluster_uuid" : "T3JQKehzSqmLThlVkEKPKg",
  "version" : {
    "number" : "5.5.1",
    "build_hash" : "19c13d0",
    "build_date" : "2017-07-18T20:44:24.823Z",
    "build_snapshot" : false,
    "lucene_version" : "6.6.0"
  },
  "tagline" : "You Know, for Search"
}

Si vous rencontrez des erreurs, attendez quelques secondes et réessayez, car il faut du temps à Elasticsearch pour terminer son processus de démarrage. Elasticsearch est maintenant installé et fonctionne correctement.

Installer MongoDB

MongoDB est un serveur de base de données NoSQL gratuit et open source. Contrairement à la base de données traditionnelle qui utilise des tables pour organiser leurs données, MongoDB est orienté document et utilise des documents de type JSON sans schémas. Graylog utilise MongoDB pour stocker sa configuration et ses méta-informations. Il peut être installé directement via le référentiel MongoDB. Créez un nouveau fichier de référentiel pour MongoDB.

sudo nano /etc/yum.repos.d/mongodb.repo

Remplissez le fichier avec le contenu suivant.

[mongodb-org-3.4]
name=MongoDB Repository
baseurl=https://repo.mongodb.org/yum/redhat/$releasever/mongodb-org/3.4/x86_64/
gpgcheck=1
enabled=1
gpgkey=https://www.mongodb.org/static/pgp/server-3.4.asc

Installez MongoDB en exécutant:

sudo yum -y install mongodb-org

Démarrez le serveur MongoDB et activez-le pour démarrer automatiquement.

sudo systemctl start mongod
sudo systemctl enable mongod

Installer le serveur Graylog

Téléchargez le dernier référentiel du serveur Graylog.

sudo rpm -Uvh https://packages.graylog2.org/repo/packages/graylog-2.3-repository_latest.rpm
sudo yum -y update

Installez Graylog en exécutant:

sudo yum -y install graylog-server

Le serveur Graylog est maintenant installé sur votre serveur. Avant de pouvoir le démarrer, vous devrez configurer quelques éléments.

Configurer Graylog

Installez l' pwgenutilitaire pour générer des mots de passe forts.

sudo yum -y install pwgen

Générez maintenant un secret de mot de passe fort.

pwgen -N 1 -s 96

Vous obtiendrez une sortie similaire à:

[user@vultr ~]$ pwgen -N 1 -s 96
pJqhNbdEY9FtNBfFUtq20lG2m9daacmsZQr59FhyoA0Wu3XQyVZcu5FedPZ9eCiDfjdiYWfRcEQ7a36bVqxSyTzcMMx5Rz8v

Générez également un hachage 256 bits pour le mot de passe de l' adminutilisateur root :

echo -n StrongPassword | sha256sum

Remplacez StrongPasswordpar le mot de passe que vous souhaitez définir pour l' adminutilisateur. Tu verras:

[user@vultr ~]$ echo -n StrongPassword | sha256sum
05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223  -

Ouvrez le fichier de configuration Graylog:

sudo nano /etc/graylog/server/server.conf

Recherchez password_secret =, copiez et collez le mot de passe généré par la pwgencommande. Recherchez root_password_sha2 =, copiez et collez le hachage SHA 256 bits converti de votre mot de passe administrateur. Recherchez #root_email =, décommentez et fournissez votre adresse e-mail. Décommentez et définissez votre fuseau horaire sur root_timezone. Par exemple:

password_secret = pJqhNbdEY9FtNBfFUtq20lG2m9daacmsZQr59FhyoA0Wu3XQyVZcu5FedPZ9eCiDfjdiYWfRcEQ7a36bVqxSyTzcMMx5Rz8v
root_password_sha2 = 05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223
root_email = [email protected]
root_timezone = Asia/Kolkata

Activez l'interface Web Graylog en supprimant les commentaires #web_enable = falseet en définissant la valeur sur true. Décommentez également et modifiez les lignes suivantes comme spécifié.

rest_listen_uri = http://0.0.0.0:9000/api/
rest_transport_uri = http://45.76.214.19:9000/api/
web_enable = true
web_listen_uri = http://0.0.0.0:9000/

Enregistrez le fichier et quittez votre éditeur de texte.

Redémarrez le service Graylog en exécutant:

sudo systemctl restart graylog-server

Configurer Nginx comme proxy inverse

Par défaut, l'interface Web Graylog écoute sur localhostle port 9000 et l'API écoute sur le port 9000 avec l'URL /api. Dans ce tutoriel, nous utiliserons Nginx comme proxy inverse afin que l'application puisse être accessible via le port HTTP standard. Installez le serveur Web Nginx en exécutant:

sudo yum -y install nginx

Ouvrez l'hôte virtuel par défaut en tapant.

sudo nano /etc/nginx/nginx.conf

Trouvez le serverbloc sous httpet remplacez le serverbloc entier par les lignes suivantes.

server
{
    listen 80 default_server;
    listen [::]:80 default_server ipv6only=on;
    server_name graylog.example.com 192.0.2.1;

    location / {
      proxy_set_header Host $http_host;
      proxy_set_header X-Forwarded-Host $host;
      proxy_set_header X-Forwarded-Server $host;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Graylog-Server-URL http://$server_name/api;
      proxy_pass       http://127.0.0.1:9000;
    }
}

Démarrez Nginx et activez-le pour démarrer automatiquement au démarrage:

sudo systemctl start nginx
sudo systemctl enable nginx

Configurer le pare-feu et SELinux

Si vous exécutez un pare-feu sur votre serveur, vous devrez configurer le pare-feu pour définir une exception pour certains ports. Autorisez le service Elasticsearch et le proxy inverse Nginx à se connecter depuis l'extérieur du réseau.

sudo firewall-cmd --zone=public --permanent --add-service=http
sudo firewall-cmd --zone=public --permanent --add-port=9200/tcp
sudo firewall-cmd --reload

Si SELinux est activé sur votre système, vous devrez ajouter quelques exceptions dans les politiques SELinux.

sudo setsebool -P httpd_can_network_connect 1
sudo semanage port -a -t http_port_t -p tcp 9000
sudo semanage port -a -t http_port_t -p tcp 9200
sudo semanage port -a -t mongod_port_t -p tcp 27017

Conclusion

L'installation et la configuration de base du serveur Graylog sont maintenant terminées. Vous pouvez maintenant accéder au serveur Graylog sur http://192.0.2.1ou http://graylog.example.comsi vous avez configuré DNS. Connectez-vous en utilisant le nom d'utilisateur adminet la version en texte brut du mot de passe que vous avez défini root_password_sha2précédemment.

Félicitations - vous avez un serveur Graylog pleinement fonctionnel installé sur votre serveur CentOS 7.