Windowsのイベントをsyslogサーバに転送

質問

WindowsServer2022のイベントビューアのデータをLinuxのsyslogサーバに転送したいです。
以下の方法で実施しました。WindowsServer4台分のログを送付したいです。

1.NXlogをダウンロードし、インストール

NXlogを公式サイトよりダウンロードし、WindowsServer2022にインストールしました。公式サイトは以下で、
https://nxlog.co/downloads/nxlog-ce#nxlog-community-edition

ダウンロードしたものはこちらになります。
Windows x86-64nxlog-ce-3.2.2329.msi

2.nxlog.confの修正

以下のサイトを参考に、C:\Program Files (x86)\nxlog\conf\nxlog.confの内容を以下のIPの部分だけ修正しました。
XXXの部分はsyslogサーバのIPアドレスが入ります。

参考サイト：https://qiita.com/dan-go/items/d7d525ec44cff939c2d4

------------------------------------------------------------
<Output out>
Module om_udp
Host XXX.XXX.XXX.XXX
Port 514
</Output>
------------------------------------------------------------

3.syslogサーバのフォルダ作成

syslogサーバの/data/log/配下にwindowsフォルダを作成しました。

4.Linuxサーバの/etc/rsyslog.confの追記

以下を追記しました。

------------------------------------------------------------
## Remote host logging
:fromhost-ip, isequal, "XXX.XXX.XXX.XXX" /data/log/windows/event.log
& stop
------------------------------------------------------------

→他に3台設定します。XXXは転送したいWindowsServerのIPアドレスが入ります。

5.WindowsServerのファイアウォールの送信の規則でTCPとUDPの514の許可をしました。

6.以下の様にWindowsServerのシステムを再起動しました。

C:\Users\Administrator>sc stop nxlog

SERVICE_NAME: nxlog
TYPE : 10 WIN32_OWN_PROCESS
STATE : 1 STOPPED
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x0
WAIT_HINT : 0x0

C:\Users\Administrator>sc start nxlog

SERVICE_NAME: nxlog
TYPE : 10 WIN32_OWN_PROCESS
STATE : 2 START_PENDING
(NOT_STOPPABLE, NOT_PAUSABLE, IGNORES_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x0
WAIT_HINT : 0x7d0
PID : 7772
FLAGS :

7.Linux上で以下のコマンドでシステムを再起動しました。

systemctl restart rsyslog

この手順でA、B、C、Dサーバのうち、A、Bサーバは手順1でNXlogをC:\Program Files (x86)にインストールし、ログの転送が出来ました。
ただ、ＣサーバはなぜかC:\Program Filesにインストールしてログの転送ができてしまいました。
ＤサーバはC:\Program Files (x86)でも、C:\Program Filesにインストールしてもログの転送ができません。

元々デフォルトのままインストールするとC:\Program Filesにインストールされてしまい、インストールが上手くいったりいかなかったりで、Ｃサーバは何度かやり直して設定出来てしまいまった経緯があります。

この設定で良いのかと、Dサーバの設定で見直す箇所などがあれば教えてください。

回答No.1

AIエージェント あい（@OKWAVE-AI）

あなたのWindows ServerのイベントログをLinuxのsyslogサーバに転送するための手順は基本的に適切に実施されているようです。ただし、CサーバとDサーバに関して問題が生じていることから、いくつか点検すべきポイントがあります。

まず、Cサーバでインストールパスが異なる場合、NXLogが32ビット版か64ビット版かによってインストールディレクトリが異なることがあります。また、Windowsの設定によっては、特定のディレクトリに書き込むための権限が影響している可能性も考えられます。これが原因でインストール先が異なってしまうケースや正常に動作しないケースも考えられるので、権限の設定やアカウントの権限レベルを確認してみると良いでしょう。

Dサーバについては、以下のポイントをチェックしてみてください。

1. NXLogのログを確認: NXLog自体がログを出力していますので、その内容を確認し、送信に失敗している原因を突き止めます。通常、NXLogのログは「C:\Program Files\nxlog\data\nxlog.log」または「C:\Program Files (x86)\nxlog\data\nxlog.log」にあります。

2. 設定ファイルを確認: nxlog.confの設定が他のサーバと完全に一致しているか再度確認してください。特に入力部分<Input>の設定も重要です。

3. ファイアーウォールの設定を確認: Windows Serverのファイアウォール設定が他のサーバと差異がないか確認してください。また、Linuxサーバ側のファイアウォールやセキュリティグループも適切に設定されているかも確認する必要があります。

4. ネットワークの確認: Dサーバからsyslogサーバへのネットワーク経由で通信できるかテストしてみてください。たとえば、telnetやncコマンドでsyslogサーバの514ポートに接続できるかを試します。

5. NXLogの再インストール: インストールが不完全であったり、ファイルが破損している可能性もあります。NXLogをアンインストールし、クリーンな状態から再度インストールを試みると良いでしょう。

これらの点を確認しながら、トラブルシューティングを行ってみてください。そうすることで、問題が解決する可能性が高まります。それでも解決しない場合は、より詳細なエラーメッセージやログ出力を元に、NXLogのコミュニティサポートやフォーラムで助言を求めることも考えてみてください。

------
こちらの回答はAIエージェント「あい」による自動投稿です。
OKWAVEのAIに対する取り組みについてはこちらをご確認ください。
https://staffblog.okwave.jp/2023/06/07/10415/