- syslog-ng - lists.balabit.hu

RE: [syslog-ng]hostname on loghost
by Hamilton, Andrew Mr RAYTHEON 5 SIG CMD 20 Aug '01

20 Aug '01

Nate, In the options part using use_fqdn(yes) will give you the fully qualified domain name. There are other ways to do this as well. Since 1 comes in tcp and the other udp you could set up separate sources and base your destinations on the sources, or something similar. I would use the use_fqdn option since I have the same problem as you except I have 7 ns1's. regards, Drew -----Original Message----- From: Nate Campi [mailto:nate@campi.cc] Sent: Friday, August 17, 2001 10:17 PM To: syslog-ng(a)lists.balabit.hu Subject: [syslog-ng]hostname on loghost I have about a hundred machines logging to a central syslog-ng loghost, most over standard UDP, a handful relayed from a syslog-ng loghost (over TCP) in a datacenter to the central loghost. The problem I'm having is this: we have two hosts named ns1 (who could imagine that?). The first logs over UDP (solaris 8) to the central loghost. I decided to put the second (hostname is configured as ns1.sjc, running - solaris 2.6) logging from syslog-ng over TCP to the loghost. I've always had good luck with the syslog-ng TCP connections keeping the hostname as sent from the TCP client syslog-ng. This time, though, the messages both on the TCP client and central syslog-ng server report the host as ns1. I want it to be ns1.sjc, and the two hosts will log differently, and archive differently. I archive with lines like this: file("/var/log/HOSTS/$HOST/$FACILITY/$YEAR/$MONTH/$DAY/$FACILITY$YEAR$MONTH$ DAY" owner(root) group(root) perm(0600) dir_perm(0700) create_dirs(yes)); }; log { source(src); destination(hosts); }; So it's critical that I get a different hostname for the two hosts. Can I somehow set the hostname for syslog-ng to log as? `hostname` reports ns1.sjc on the host, so why can't I use that? I've mucked around with options like keep_hostname and long_hostnames but they just seem to stick the "source" name on the messages, not what I need. Any ideas? -- Nate _______________________________________________ syslog-ng maillist - syslog-ng(a)lists.balabit.hu https://lists.balabit.hu/mailman/listinfo/syslog-ng

1 0

hostname on loghost
by Nate Campi 17 Aug '01

17 Aug '01

I have about a hundred machines logging to a central syslog-ng loghost, most over standard UDP, a handful relayed from a syslog-ng loghost (over TCP) in a datacenter to the central loghost. The problem I'm having is this: we have two hosts named ns1 (who could imagine that?). The first logs over UDP (solaris 8) to the central loghost. I decided to put the second (hostname is configured as ns1.sjc, running - solaris 2.6) logging from syslog-ng over TCP to the loghost. I've always had good luck with the syslog-ng TCP connections keeping the hostname as sent from the TCP client syslog-ng. This time, though, the messages both on the TCP client and central syslog-ng server report the host as ns1. I want it to be ns1.sjc, and the two hosts will log differently, and archive differently. I archive with lines like this: file("/var/log/HOSTS/$HOST/$FACILITY/$YEAR/$MONTH/$DAY/$FACILITY$YEAR$MONTH$DAY" owner(root) group(root) perm(0600) dir_perm(0700) create_dirs(yes)); }; log { source(src); destination(hosts); }; So it's critical that I get a different hostname for the two hosts. Can I somehow set the hostname for syslog-ng to log as? `hostname` reports ns1.sjc on the host, so why can't I use that? I've mucked around with options like keep_hostname and long_hostnames but they just seem to stick the "source" name on the messages, not what I need. Any ideas? -- Nate

1 0

Full pipe as destination
by Peter Draexler 16 Aug '01

16 Aug '01

Hi, We are using syslog-ng on our logserver with multifunctional logforwarding. As a special type of destination we are using pipes as a special interface to commercial applications. Here is our question: What happens with the log events, if the pipe becomes temp. unavailable (e.g. the reading end is dead or the pipe is full)? IMHO you have to open() the pipe nonblocking, to avoid your syslog stucks in-active, in the case one destination is broken. I think this is true. Correct? What happens with your internal log buffers, if write() returns -1 and errno set to EAGAIN? You implement an internal buffering/queue and try to write the outstanding log events some times later or you simply discard the buffers as long as one destination is unreachable? Thanks very much. Best Regards -- Andreas and Peter A Hint for syslog-ng.1.5.8 on Solaris 8: $DATE in destination templates returns nothing. But $FULL|ISODATE works fine. -- Dr. Peter Dräxler mediaWays GmbH Hülshorstweg 30 33415 Verl Tel. +49-5246-80-1888 Fax +49-5246-80-2888 peter.draexler(a)mediaways.net ------------------------------

2 2

RE: [syslog-ng]compiling on Solaris 8
by Hamilton, Andrew Mr RAYTHEON 5 SIG CMD 16 Aug '01

16 Aug '01

--- Balazs Scheidler <bazsi(a)balabit.hu> wrote: > try this patch: > > diff -u -r1.10.2.1 afstreams.c > --- afstreams.c 2001/02/25 12:30:22 1.10.2.1 > +++ afstreams.c 2001/07/16 08:26:55 > @@ -164,7 +164,7 @@ > { > NEW(stream_fd, f); > > - init_file(backend, &f->super, fd); > + init_file(backend, &f->super, fd, NULL); > f->super.prepare = prepare_stream_fd; > f->super.read = stream_read_callback; > f->super.want_read = 1; Believe this is fixed in 1.4.13, but I don't think Bazsi has had time to officially release that on the website. You can make the slight mod to the afstreams.c file and it will work. Regards, Drew -----Original Message----- From: David Monk [mailto:david@purplebear.net] Sent: Wednesday, August 15, 2001 11:41 PM To: syslog-ng(a)lists.balabit.hu Subject: [syslog-ng]compiling on Solaris 8 I have tried several times to get syslog-ng to compile on Solaris 8 with GNU tools. I have tried the most current release of the 1.4 branch and 1.2 branch, with no luck. Each one complains about a different function with too few arguments. In the 1.4 release, it was src/afstreams.c line 167, init_file function, I believe. Has anyone successfully done this? Seeing that the site says it's in wide use on Solaris, I am hoping so. Please someone tell me what I am missing.I really need a syslog facility with remote reception capabilities. Thank you, David Monk CCNA, MCSE david(a)purplebear.net _______________________________________________ syslog-ng maillist - syslog-ng(a)lists.balabit.hu https://lists.balabit.hu/mailman/listinfo/syslog-ng

1 0

compiling on Solaris 8
by David Monk 15 Aug '01

15 Aug '01

I have tried several times to get syslog-ng to compile on Solaris 8 with GNU tools. I have tried the most current release of the 1.4 branch and 1.2 branch, with no luck. Each one complains about a different function with too few arguments. In the 1.4 release, it was src/afstreams.c line 167, init_file function, I believe. Has anyone successfully done this? Seeing that the site says it's in wide use on Solaris, I am hoping so. Please someone tell me what I am missing.I really need a syslog facility with remote reception capabilities. Thank you, David Monk CCNA, MCSE david(a)purplebear.net

1 0

Re: syslogd-ng
by Balazs Scheidler 15 Aug '01

15 Aug '01

On Tue, Aug 14, 2001 at 02:45:56PM -0400, Erik Ivanenko wrote: > The latest "stable" versions do not compile on Solaris 2.6. > > Failure during compilation: > > afstreams.c:167: too few arguments to function 'init_file' http://www.balabit.hu/downloads/syslog-ng/1.4/syslog-ng-1.4.13.tar.gz I'll announce it as soon as I'll have some time. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1

1 0

RE: [syslog-ng]NT Eventlog -> UNIX Syslog
by Nijs, Daniel 12 Aug '01

12 Aug '01

Free lunch!!!! ;) Thanks for that link, I am downloading it right now. Wonder why this never showed up in search engines. Best regards, Dan -----Original Message----- From: Michael Hargadon [mailto:MHargadon@ITDepartment.com] Sent: Tuesday, August 07, 2001 10:00 AM To: 'syslog-ng(a)lists.balabit.hu' Subject: [syslog-ng]NT Eventlog -> UNIX Syslog Since there was a lot of interest in this I figured I'd be nice and provide a link to the software I use. ;) http://www.intersectalliance.com/projects/index.html#BackLog It's free, too.. Regards, Michael Hargadon mhargadon(a)itdepartment.com _______________________________________________ syslog-ng maillist - syslog-ng(a)lists.balabit.hu https://lists.balabit.hu/mailman/listinfo/syslog-ng

3 3

timestamp issues
by Mickey Everts 12 Aug '01

12 Aug '01

How is it possible to have out of order time stamps? My first thought would be that somehow the device itself is sending the timestamp. Do devices have the option of sending a timestamp or not? I would prefer that the syslog daemon itself always write the timestamp if possible to avoid confusion when trying to diagnose multiple device events. Aug 2 15:11:24 ap01.yipes.com KERN: NV:Completed configuration save (secondary) operation Aug 2 15:10:47 t3-0-2-0.jp02.yipes.com mgd[13087]: UI_JUNOSCRIPT_ERROR: junoscript error: syntax error, expecting <command> Aug 2 15:11:26 t3-0-2-0.jp02.yipes.com mgd[13087]: UI_CMDLINE_READ_LINE: user 'auser', command 'start shell ' -MiC Mickey Everts 415.901.2223 direct Unix System Administrator 415.901.2000 main Yipes Communications, Inc. 415.533.1402 cell http://www.yipes.com/ 415.358.4112 fax

3 3

Loganalysis mailing list
by Tina Bird 09 Aug '01

09 Aug '01

The Log Analysis mailing list is a forum for system administrators who are building and using a centralized logging infrastructure in their networks. Most of the discussion will focus on the care and feeding of syslog -- central loghosts, how to configure the devices in your network, how to secure your log infrastructure. We also talk about how to manage and process your log data. One of my primary goals for this list is to collect log data from attacks "in the wild," and to build configuration files for swatch and logsurfer that contain samples of these known attack signatures. Hopefully this will encourage more people to look at their logfiles regularly. I will also be publishing syslog configurations for devices as I collect them. This list is moderated by Tina Bird. To subscribe to the LogAnalysis mailing list, send an empty e-mail message to loganalysis-subscribe(a)securityfocus.com from the account you want to add. You'll be asked to confirm the subscription request, and sent a list of administrative commands for your subscription. And start talking! Thanks -- tbird

1 0

RE: [syslog-ng]syslog-ng tcp ports
by nothingsTrivial - 09 Aug '01

09 Aug '01

Hi Ravi, I think all you need to change is the source statements listen address. Try, something like this; source s_net_tcp { tcp(ip(0.0.0.0) port(4474)); }; Hope that helps. Shawn -----Original Message----- From: Ravi Malghan [mailto:rmalghan@yahoo.com] Sent: Thursday, August 09, 2001 5:19 AM To: syslog-ng(a)lists.balabit.hu Subject: [syslog-ng]syslog-ng tcp ports Hello: I have a environment where the syslog clients are out side the firewall and the server is inside. The clients are configured to connect to port 4474 using TCP. I enabled this port on the firewall but still the connections donot go through. Are there any pther ports I need to enable on the firewall? Server side: source syslog-ng-client_tcp {tcp(ip(192.168.17.90) port(4474));}; Client side destination syslog-ng-server1 { tcp("192.168.17.90" port(4474)); }; TIA Ravi _________________________________________________________________ Get your FREE download of MSN Explorer at http://explorer.msn.com/intl.asp

1 0

syslog-ng tcp ports
by Ravi Malghan 09 Aug '01

09 Aug '01

Hello: I have a environment where the syslog clients are out side the firewall and the server is inside. The clients are configured to connect to port 4474 using TCP. I enabled this port on the firewall but still the connections donot go through. Are there any pther ports I need to enable on the firewall? Server side: source syslog-ng-client_tcp {tcp(ip(192.168.17.90) port(4474));}; Client side destination syslog-ng-server1 { tcp("192.168.17.90" port(4474)); }; TIA Ravi

1 0

Re: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

6 6

RE: Can someone please stop this: RE: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie)
by Hamilton, Andrew Mr RAYTHEON 5 SIG CMD 08 Aug '01

08 Aug '01

Bazsi blocked him you can take the rule out. -----Original Message----- From: Robert Andersson [mailto:robert@ling.gu.se] Sent: Wednesday, August 08, 2001 11:12 AM To: syslog-ng(a)lists.balabit.hu Subject: Re: Can someone please stop this: RE: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie) jon, >>>>> "JN" == Jon Nistor <nistor(a)snickers.org> writes: JN> .procmailrc -> JN> :0 JN> * ^(To|From|cc).*Erick.Staal(a)onl.pinkroccade.nl JN> /dev/null thanx, now his emails will be lost in cyber space... errr... thus does also probably mean that i will be annoyed by him forever cause i can never read his eamil where he appologises for this... :) /robert _______________________________________________ syslog-ng maillist - syslog-ng(a)lists.balabit.hu https://lists.balabit.hu/mailman/listinfo/syslog-ng

1 0

Re: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

Re: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

Re: Can someone please stop this: RE: [syslog-ng]smallsyslog-ng1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

small syslog-ng 1.5.8 bug
by Jay Soffian 08 Aug '01

08 Aug '01

I haven't tracked this down yet, but it appears that when you send syslog-ng a SIGHUP while it is running with '-v', it terminates instead of restarting. # uname -a Linux syslog01 2.2.16-3smp #1 SMP Mon Jun 19 19:00:35 EDT 2000 i686 unknown # syslog-ng -V syslog-ng 1.5.8 j.

2 1

RE: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

RE: Can someone please stop this: RE: [syslog-ng]small syslog-ng1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

RE: Can someone please stop this: RE:[syslog-ng]smallsyslog-ng1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

RE: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

RE: Can someone please stop this: RE: [syslog-ng]smallsyslog-ng1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

Re: Can someone please stop this:RE:[syslog-ng]smallsyslog-ng1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

Re: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie)
by Erick Staal 08 Aug '01

08 Aug '01

Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal

1 0

RE: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie)
by Hamilton, Andrew Mr RAYTHEON 5 SIG CMD 08 Aug '01

08 Aug '01

Can we get this person blocked? -----Original Message----- From: Erick Staal [mailto:Erick.Staal@onl.pinkroccade.nl] Sent: Wednesday, August 08, 2001 7:26 AM To: syslog-ng(a)lists.balabit.hu Subject: Re: [syslog-ng]small syslog-ng 1.5.8 bug (Vakantie) Hallo, Omdat ik tot 27 augustus vakantie vier wil ik graag uw aandacht vragen voor het volgende: Betreft uw mail of afspraak het project RYX: neemt u dan alstublieft contact op met Paul ter Beek voor organisatorische zaken of Maarten Hartsuijker voor technische zaken. Betreft uw mail of afspraak het project Vibase neemt u dan alstublieft contact op met Otte Jaarsma. Voor overige zaken neem ik na mijn vakantie indien gewenst weer contact met u op. mvg, Erick Staal _______________________________________________ syslog-ng maillist - syslog-ng(a)lists.balabit.hu https://lists.balabit.hu/mailman/listinfo/syslog-ng

2 1