syslog format

[Andi G.]

Hallo zusammen,

auf meinem zentralen Linux Syslog Server melden alle Syslog fähigen Geräte die Events. Auch einige Aktionen des MS schicken über einen Logger syslog Meldungen. Leider sind diese in einem merkwürdigen Format. Ich habe in der rsyslog.conf auf dem Linux Host RSYSLOG_SyslogProtocol23Format eingestellt, mit dem eigentlich alle klar kommen.

Nur die Loxone syslog events kommen in einem Format, dass nicht passt.

Gibt es eine Möglichkeit das Syslog Format anzupassen?

Danke und Gruß
Andi

[Gast]

Hallo,

ich bin auch gerade auf dieses merkwürdige Format der Loxone gestossen. Ich versuche die Meldungen des Miniservers in meine Synology Diskstation zu loggen, was grundsätzlich auch funktioniert. Leider werden alle die Informationen durch Semikolon getrennt als Nachricht gespeichert. Diese sieht z. B. so aus: 2017-11-15 20:57:47;NAMEDESLOXONEBAUSTEINS;WERTODERTEXT

Ich kann auf der Diskstation zwischen BSD, IETF und einem benutzerdefinierten Format wählen. Das benutzerdefinierte Format würde aus Typ, Name und Parameter bestehen, die durch ein "@" gebunden sind. Weitere Information in der DSM-Hilfe. Leider konnte ich dort nichts finden und auch Google hat nicht wirklich geholfen.

Eigentlich gehört es wahrscheinlich eher in das Synology Forum. Vielleicht ist aber hier jemand zu finden, der das konkrete Problem mit dem Miniserver bereits gelöst hat?

Danke und Gruß
Marvin

[Eusebius]

Das benutzerdefinierte Format ist in der DSM-Hilfe zu finden (unter Applications/LogCenter, nicht unter System/LogCenter). Verweist auf https://syslog-ng.com/documents/html...g-parsers.html und https://syslog-ng.com/documents/html...-download.html
Soweit ich das verstehe sollte damit ein Parsen des Loxone Log-Formates in der Synology möglich sein (bin aber selber erst am experimentieren)

[Thomas M.]

Ist Loxone bereits bekannt.
Bei mir ist es auch beim QNAP nicht anders, die Einträge sind alle etwas eigenartig.

Selbst kann man, an dem was der Miniserver an einen syslog-server sendet, nichts ändern.
Das hat seitens Loxone jedoch nicht wirklich eine hohe Priorität, da ich das bisher scheinbar als einziger gemeldet habe.

Vielleicht wird die Priorität höher, wenn sich noch jemand meldet.

[orli]

Wie kann man denn die Logs an einen Syslog Server senden?

[Gast]

@Thomas: vielen Dank für die Info. Ich wollte halt anders an die Sache herangehen und die Daten entsprechend der Lieferung vom Miniserver verarbeiten. Wenn man wüsste, in welchem Format das Ruleset vorliegen würde, dann könnte man den Syslog-Server entsprechend konfigurieren und man müsste nicht auf die Anpassung von Loxone hoffen.

@orli: Du musst im Miniserver bei einem Logger anstelle des lokalen Logs (z. B. /log/Logfile.log) den Syslog-Server im folgenden Format angeben: /dev/udp/IPADRESSEDESSYSLOGSERVERS/PORT

[orli]

@orli: Du musst im Miniserver bei einem Logger anstelle des lokalen Logs (z. B. /log/Logfile.log) den Syslog-Server im folgenden Format angeben: /dev/udp/IPADRESSEDESSYSLOGSERVERS/PORT

Danke! Dass kann ich dann aber nur mit Loggern in meinem Programm machen, oder? Also das def.log kriege ich z.B. so nicht weg gesichert, richtig?

[Gast]

orli Nein, das geht - soweit ich weiß - nicht mit def.log.

[BSiege]

Ich kapere dann mal diesen alten Thread. Vielleicht googelt sich da ja mal jemand zum Thema rein. Hat sich da mit den neuen Versionen darin etwas geändert? Ich habe eben bemerkt, dass nach einem Update meines Syslogservers fast ein Monat die Logs nicht mehr runtergeschrieben wurden. Da RFC 5424 implementiert wurde, verwirft nun der Parser:

received sa_len = 16
cvthname(2) len = 16
cvthname(172.xxx.xxx.xxx)
# of validation rule: 3
validate: dgram from IP xxx.xxx.xxx.xxx, port 514, name loxone.irgendwas.irgendwo;
accepted in rule 1.
[B]Invalid PRI from loxone.irgendwas.irgendwo[/B]

Was völlig richtig und nachvollziehbar ist. Bis jetzt hat das keine Rolle gespielt, weil man zwar wusste, dass Loxone syslog etwas schrottig implementiert hat, aber es ist trotzdem soweit durchs Raster gefallen, dass zumindest der Eintrag angenommen wurde (RFC 3164). Es wäre wohl schon erledigt, wenn man die facility/priority mitgeben könnte.
Warum nicht Loxone Support? Da kann ich mein Problem auch auf Toilettenpapier schreiben ;-) Zumal ich wohl sowieso bis zum Komplettersatz auf V7.4 bleiben werde.

[Thomas M.]

ich schau grad mal in meinem qnap nas syslog server nach.

Also bei mir ist alles beim alten. das format ist ein chaos, unter "host name" steht das Datum, ...
für mich die Schlussfolgerung, dass loxone hier nichts geändert hat, da ich bisher scheinbar der einzige war, der sich gemeldet hat.

Mich stört das Chaos auch. Da ich das noch nie gemacht habe - muss ich schüchtern nachfragen wo ich das melden kann. Danke.

[Thomas M.]

Einfach beim support anbringen.

Ok danke. Werde ich machen.

[BSiege]

Danke für die Rückmeldung.
In einem Dokument von 2001 nachlesen wie so eine Nachricht zusammengestellt würde liegt offensichtlich nicht drin.
Was kann bei einer Syslog-Implementierung schon schief gehen? Im Ernst! Einen einfachen String strukturiert zusammenstellen und den in einem UDP-Paket Richtung Logserver abfeuern. Da ist im Normalfall noch ein Azubi unterfordert.

[Gast]

Hallo,

ich bin auch gerade auf dieses merkwürdige Format der Loxone gestossen. Ich versuche die Meldungen des Miniservers in meine Synology Diskstation zu loggen, was grundsätzlich auch funktioniert. Leider werden alle die Informationen durch Semikolon getrennt als Nachricht gespeichert. Diese sieht z. B. so aus: 2017-11-15 20:57:47;NAMEDESLOXONEBAUSTEINS;WERTODERTEXT

Ich kann auf der Diskstation zwischen BSD, IETF und einem benutzerdefinierten Format wählen. Das benutzerdefinierte Format würde aus Typ, Name und Parameter bestehen, die durch ein "@" gebunden sind. Weitere Information in der DSM-Hilfe. Leider konnte ich dort nichts finden und auch Google hat nicht wirklich geholfen.

Eigentlich gehört es wahrscheinlich eher in das Synology Forum. Vielleicht ist aber hier jemand zu finden, der das konkrete Problem mit dem Miniserver bereits gelöst hat?

Danke und Gruß
Marvin

Inzwischen ist fast ein Jahr vergangen. Auch ich würe gerne meine Logs direkt auf die Synology Diskstation schicken.
Hat sich in der zwischenzeit bzgl. Format etwas getan? Glaube nicht oder - zumindest im .log File direkt auf der SD Karte sieht es ählich aus wie der String oben.

Habe es bisher auch noch nicht geschafft an die Diskstation einen Log zu schicken. Habe es so probiert: /dev/udp/IPADRESSEDESSYSLOGSERVERS/PORT
Kann das sein dass es am eingestellten Format im LogCenter auf der NAS liegt?
Welches Format macht da Sinn?

[BSiege]

Zwar in einem anderen Kontext mit alter Miniserverversion und FreeBSD Logserver dessen Toleranz gegenüber Loxone nach einem Update etwas nachliess, habe ich mir auf dem Loxberry ein Syslog-Forwarder erstellt. Rsyslog bietet Templates, die den empfangenen Schrott RFC-konform aufbereiten kann und danach noch weiterleiten. Ist natürlich ein ziemlicher Hack, aber erfüllt meine Zwecke am Besten.

Inhalt /opt/loxberry/config/plugins/syslogserver/rsyslog.d/loxberry.conf

:fromhost-ip, isequal, "miniserverIP" /opt/loxberry/log/plugins/syslogserver/loxberry.log
$template RFC3164fmt,"<%PRI%>%TIMESTAMP% %HOSTNAME% %syslogtag%%msg%"
:fromhost-ip, isequal, "miniserverIP" @remotelogIP;RFC3164fmt
& stop

[.:Chris:.]

Hey danke, so etwas habe ich gesucht.
Wäre das nicht auch als "Syslog-Forwarder" - Plugin möglich?
Leider bin ich kein Expert um das in die Form eines Plugins zu bringen.

[BSiege]

Das syslog-plugin reicht ja IMHO aus. Nur um die obenstehende zweizeilige Anpassung zu erledigen braucht es ja kein separates Plugin. Allenfalls wäre das höchstens eine Ergänzung im Syslog-Plugin wert...

[.:Chris:.]

Guten Morgen,
da gebe ich dir vollkommen recht. Ich hatte mich vorher noch nicht damit beschäftigt. Eine kleine Ergänzung hierzu wäre sicherlich einfacher.

[.:Chris:.]

Hallo zusammen,
ich versuche gerade das Loxone syslog-Format in das Format von QNAP zu bringen.

Dazu habe ich

$template RFC3164fmt,"<%PRI%>%TIMESTAMP% %HOSTNAME% %syslogtag%%msg%"

abgewandelt in

$template RFC3164fmt,"<%PRI%>%TIMESTAMP% 192.168.178.xxx Loxone_Miniserver %msg%"

Jedoch werden Teile von "Anwendung" und "Uhrzeit" in das Feld "Message" übernommen. Wie kann der Inhalt beeinflusst werden, wie sett er sich genau zusammen?

Im Logfile sieht dies wie folgt aus:

<13>1 2018-11-12T06:33:38+01:00 192.168.178.xxx Loxone_Miniserver - - - Loxone_Miniserver 33:38;Logger_Fenster;FK_10_Buero_AUF#015
<13>1 2018-11-12T06:34:43+01:00 192.168.178.xxx Loxone_Miniserver - - - Loxone_Miniserver 34:43;Logger_Fenster;FK_10_Buero_ZU#015

Wo die "#15" herkommt kann ich mir auch icht erklären, das wäre jedoch für mich zweitrangig.

Vielen Dank
.:Chris:.

[BSiege]

Die #015 ist ein \r sprich "Return". Die neueren Syslog-Daemons wandeln unlesbare Zeichen in Hex. Das liesse sich abschalten.https://www.rsyslog.com/doc/rsconf1_...onreceive.html und https://www.rsyslog.com/doc/rsconf1_...onreceive.html. Die "Message" ist halt alles was der Miniserver liefert. Mit etwas Geduld liesse sich das wohl auch noch Rausparsen...

[scharrin]

Hallo,

Ich hatte genau die selbe Konstellation. Das Ergebnis war genau das selbe.

Ich habe daraufhin ein Ticket eröffnet.

Nach einigem Hin und her kam dann von Loxone diese „Lösung“:

Vielen Dank für Ihre Rückmeldung.

Ich habe jetzt erneut mit dem Entwickler gesprochen und wir haben gesehen, dass der Miniserver das Syslog Protokoll falsch verwendet.
Es ist also ein Problem des Miniservers.

Ich habe das Ticket jetzt an die Entwickler weitergegeben, dass das so schnell wie möglich gelöst wird. Ob und wann das sein wird, kann ich aktuell leider nicht sagen.

Dies Antwort habe ich am 5.12.2017 erhalten.

Ich habe es dann bleiben lassen. Ich habe auch noch auf einer relativ alten Firmware-Version 8.3.3.21

Mir ist der Aufwand einfach zu hoch, hier immer wieder nachzufragen.

Solltest Du aber eine Lösung finden, würde mich dies natürlich auch interessieren.


Viele Grüße,
Christian

[BSiege]

Soweit ich das durchsuchen kann, steht der Term "syslog" in keinem Changelog bis zur aktuellen 10er Version. Im besten Fall wurde das gefixt ohne weitere Worte darüber zu verlieren. Oder?

[.:Chris:.]

Ich habe meine Erkenntnisse im Wiki dokumentiert

Gesendet von meinem SM-G930F mit Tapatalk

[BSiege]

Also ich hab's gesucht und sofort gefunden.

[.:Chris:.]

ist hier mit enthalten:

https://www.loxwiki.eu/display/LOXBERRY/Syslog+Server

[Eusebius]

Danke. BSiege - du bist sooo toll.