rsyslog omsnmp

rsyslog를 사용하여 snmptrap을 발생시키고자 할 경우 아래와 같은 설정을 추가해 특정 log에 대한 snmptrap을 발생시킬수 있다.

관련된 모듈이름은 omsnmp으로 Red Hat Enterprise Linux 7을 사용하는 경우 아래 package를 설치해야 한다.

[root@rhel7 ~]# yum install rsyslog-snmp -y

해당 package를 확인해보면 omsnmp 모듈이 존재함을 확인할 수 있다.

[root@rhel7 ~]# rpm -ql rsyslog-snmp

/usr/lib64/rsyslog/omsnmp.so

rsyslog package가 이미 설치되어 있다는 가정하에 아래 설정을 변경한다.

[root@rhel7 ~]# vim /etc/rsyslog.conf

$actionsnmptransport udp
$actionsnmptarget localhost
$actionsnmptargetport 162
$actionsnmpversion 1
$actionsnmpcommunity public
daemon.warning,info;syslog.* :omsnmp:

만약 아래와 같이 module을 못찾는다고 나오면

May 30 13:11:44 rhel7 rsyslogd: could not load module '/usr/lib64/rsyslog/omsnmp.so', dlopen: /usr/lib64/rsyslog/omsnmp.so: cannot open shared object file: No such file or directory  [v8.24.0 try http://www.rsyslog.com/e/2066 ]

/usr/lib64/rsyslog/ 경로내에 omsnmp.so 파일이 존재하는지 확인해본다.

trap 발생에 대한 확인

위에서 trap을 localhost를 target으로 하였기에 lo interface로 tcpdump를 수행해보면

[root@rhel7 ~]# tcpdump -nnei lo port 162

14:18:27.542824 00:00:00:00:00:00 > 00:00:00:00:00:00, ethertype IPv4 (0x0800), length 327: 127.0.0.1.60382 > 127.0.0.1.162:  V2Trap(266)  .1.3.6.1.2.1.1.3.0=7865944 .1.3.6.1.6.3.1.1.4.1.0=.1.3.6.1.4.1.19406.1.2.1 .1.3.6.1.4.1.19406.1.1.2.1="<28>May 30 14:18:27 rhel7 firewalld[676]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w2 -t filter -C FORWARD -o docker0 -j DOCKER' failed: iptables: No chain/target/match by that name."

- https://www.rsyslog.com/doc/v8-stable/configuration/modules/omsnmp.html