ASL und UDP-Syslogd

[Wuchtbrumme]

Hallo,

gibt es mittlerweile eine sinnvolle und einfache Möglichkeit, das Logging vom Mac auf einen remote Syslog-Server umzuleiten?

 

[Marcel Bresink]

Eine "einfache" Möglichkeit in Form von "Umleiten" reicht nicht, denn macOS selbst verwendet seit macOS 10.12 kein ASL oder syslog mehr. Nur noch zur Unix-Kompatibilität ist syslog in macOS enthalten. Seit 2016 wird "Apple Unified Logging" verwendet. Das ist datenbankbasiert und erzeugt etwa 1,8 Millionen Einträge pro Stunde in Mikrosekundenauflösung.

Auch einige moderne Linux-Systeme sind inzwischen auf alternativeTechniken wie "journalctl" mit "systemd-journal-remote over HTTPS" umgestiegen.

Das heißt nicht, dass das syslog-Protokoll (also RFC 5424) tot wäre, aber das läuft jetzt quasi zweigleisig. Man braucht einen Zwischenagenten, der auf der einen Seite den nativen Protokoll-Stream "abhört", die interessanten Nachrichten herausfiltert und dann per syslog-Protokoll weiterversendet. Es könnte sein, dass das plattformunabhängige Projekt "syslog-ng" so etwas kann. Ich selbst habe es noch nicht eingesetzt.

 

[Wuchtbrumme]

Eine "einfache" Möglichkeit in Form von "Umleiten" reicht nicht, denn macOS selbst verwendet seit macOS 10.12 kein ASL oder syslog mehr. Nur noch zur Unix-Kompatibilität ist syslog in macOS enthalten. Seit 2016 wird "Apple Unified Logging" verwendet. Das ist datenbankbasiert und erzeugt etwa 1,8 Millionen Einträge pro Stunde in Mikrosekundenauflösung.

Auch einige moderne Linux-Systeme sind inzwischen auf alternativeTechniken wie "journalctl" mit "systemd-journal-remote over HTTPS" umgestiegen.

Das heißt nicht, dass das syslog-Protokoll (also RFC 5424) tot wäre, aber das läuft jetzt quasi zweigleisig. Man braucht einen Zwischenagenten, der auf der einen Seite den nativen Protokoll-Stream "abhört", die interessanten Nachrichten herausfiltert und dann per syslog-Protokoll weiterversendet. Es könnte sein, dass das plattformunabhängige Projekt "syslog-ng" so etwas kann. Ich selbst habe es noch nicht eingesetzt.

Danke, @Marcel Bresink, das Herausfiltern auf dem erzeugenden Host ist natürlich kontraproduktiv ggü. dem Gedanken, das in Graylog herausfiltern zu können, aber ich verstehe, dass möglicherweise einfach zu viele Daten anfallen, um überhaupt damit anzufangen.