À l'aide de nxlog de navire se connecte à logstash à partir de Windows à l'aide de om_ssl

J'ai été en regardant les options d'expédier les logs de Windows, j'ai déjà eu logstash mis en place, et je suis actuellement navire journaux à partir de Linux (CentOS) les serveurs de mon ELK pile à l'aide de la logstash-transitaire et le cryptage ssl.

Pour des raisons de conformité de chiffrement est assez essentiel dans cet environnement.

J'espérais utiliser logstash-redirecteur de Windows, mais après la compilation à Aller, j'ai couru dans des problèmes de livraison de Journaux d'Événements, et j'ai trouvé des gens en disant que ce n'était pas possible en raison de problèmes de verrouillage de fichier, ce qui le logstash-redirecteur de gens semblent être de travail, mais je ne peux vraiment pas attendre.

De toute façon, finalement, j'ai trouvé que nxlog semble être en mesure d'expédier les journaux dans un format crypté à l'aide de ssl, j'ai trouvé un quelques postes sur similaire sujets et pendant que j'y ai appris pas mal sur la façon d'expédier les journaux de partout, et la façon de nxlog, je suis toujours à une perte avec comment configurer logstash à accepter les journaux afin que je puisse les traiter.

J'ai demandé à la #nxlog et #logstash canaux irc, et a obtenu une certaine confirmation dans #nxlog que c'est possible, pas plus d'informations sur la façon dont il doit être configuré.

De toute façon, j'ai pris le crt fichier créé pour l'utiliser avec mon logstash-transitaire (je vais en créer une nouvelle si besoin, quand je suis heureux que cela fonctionne) et l'a renommé avec un pem extension, qui je crois devrait fonctionner comme il est lisible en format ASCII. J'ai créé la variable d'environnement pour l' %CERTDIR% et de mettre mon fichier, j'ai rédigé dans un fichier de config pour nxlog des autres articles que j'ai lus, je pense que c'est juste, mais je ne suis pas sûr à 100%:

## This is a sample configuration file. See the nxlog reference manual about the
## configuration options. It should be installed locally and is also available
## online at http://nxlog.org/nxlog-docs/en/nxlog-reference-manual.html

## Please set the ROOT to the folder your nxlog was installed into,
## otherwise it will not start.

#define ROOT C:\Program Files\nxlog
define ROOT C:\Program Files (x86)\nxlog

Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
LogFile %ROOT%\data\nxlog.log

# Enable json extension
<Extension json>
    Module xm_json
</Extension>

# Nxlog internal logs
<Input internal>
    Module im_internal
    Exec $EventReceivedTime = integer($EventReceivedTime) /1000000; to_json();
</Input>

# Windows Event Log
<Input eventlog>
  # Uncomment im_msvistalog for Windows Vista/2008 and later
    Module im_msvistalog
  # Uncomment im_mseventlog for Windows XP/2000/2003
  # Module im_mseventlog
    Exec $EventReceivedTime = integer($EventReceivedTime) /1000000; to_json();
</Input>

<Output sslout>
    Module          om_ssl
    Host            lumberjack.domain.com
    Port            5000
    CertFile        %CERTDIR%/logstash-forwarder.crt
    AllowUntrusted  TRUE
    OutputType      Binary
</Output>

<Route 1>
    Path     eventlog, internal => sslout
</Route>

Ce que je veux savoir est ce que le format d'entrée à utiliser dans logstash j'ai essayé d'expédition connecte à un bûcheron type d'entrée (en utilisant la même config que mon logstash-transitaires) avec la configuration suivante:

input {
  lumberjack {
    port => 5000
    type => "logs"
    ssl_certificate => "/etc/pki/tls/certs/logstash-forwarder.crt"
    ssl_key => "/etc/pki/tls/private/logstash-forwarder.key"
  }
}

Mais lorsque le service a commencé, j'ai d'obtenir les éléments suivants dans le nxlog fichiers de log:

2014-11-06 21:16:20 INFO connecting to lumberjack.domain.com:5000
2014-11-06 21:16:20 INFO nxlog-ce-2.8.1248 started
2014-11-06 21:16:21 INFO successfully connected to lumberjack.domain.com:5000
2014-11-06 21:16:22 INFO remote closed SSL socket
2014-11-06 21:16:22 INFO reconnecting in 1 seconds
2014-11-06 21:16:23 INFO connecting to lumberjack.domain.com:5000
2014-11-06 21:16:24 INFO reconnecting in 2 seconds
2014-11-06 21:16:24 ERROR couldn't connect to ssl socket on lumberjack.antmarketing.com:5000; No connection could be made because the target machine actively refused it.

Quand j'ai tourné la journalisation jusqu'à DEBUG, je vois une énorme quantité de grumes de voler à travers, mais je pense que la clé de la partie est:

2014-11-06 21:20:18 ERROR Exception was caused by "rv" at om_ssl.c:532/io_err_handler(); [om_ssl.c:532/io_err_handler()] -; [om_ssl.c:501/om_ssl_connect()] couldn't connect to ssl socket on lumberjack.domain.com:5000; No connection could be made because the target machine actively refused it.

Je suppose que c'points pour moi, l'utilisation de la mauvaise méthode de saisie sur logstash, mais je suppose que cela pourrait être aussi un problème avec mon ssl cert, ou la façon dont il est configuré. Je ne semble pas être tous les journaux sur le logstash server générée au moment je fais la connexion de ma machine Windows.