Déployer SexiLog sous VMware vSphere 6.7 pour collecter les journaux (logs) de vos hôtes ESXi et de VCSA

7. Rediriger les journaux (logs) de VMware ESXi

Si vous accédez à l'interface web de SexiLog en tapant simplement son adresse IP dans la barre d'adresse de votre navigateur web, vous verrez une page SexiHome.
Néanmoins, vous ne verrez aucun graphique ni aucun événement pour le moment étant donné qu'aucun log n'est actuellement envoyé à ce serveur SexiLog.

Pour rediriger les journaux (logs) de votre hôte VMware ESXi vers SexiLog, accéder à l'interface web de votre hôte VMware ESXi et allez dans : Hôte -> Gérer -> Système -> Paramètres avancés.

Tapez "syslog" dans la case de recherche située en haut à droite du tableau puis appuyez sur Enter.
Ensuite, sélectionnez le paramètre avancé "Syslog.global.logHost" et cliquez sur : Modifier l'option.

Dans la case "Nouvelle valeur", indiquez : udp://[adresse ip de la VM SexiLog]:514.
Ce qui donne dans notre cas : udp://10.0.0.7:514

Le paramètre avancé Syslog.global.logHost a été modifié.

Dans le menu "Hôte -> Gérer -> Services", vérifiez que le service "vmsyslogd" (Serveur Syslog) est en cours d'exécution.

Maintenant que VMware ESXi est configuré pour transférer les journaux (logs) à un serveur syslog distant, vous devez ouvrir les ports correspondants dans le pare-feu de votre serveur VMware ESXi.
Pour cela, allez dans "Mise en réseau -> Règles du pare-feu", puis sélectionnez la règle "syslog" et cliquez sur : Actions -> Activer.

Le message "L'ensemble de règles syslog a été activé" apparait.

8. Aperçu des logs de VMware ESXi dans SexiLog

Si vous accédez à l'interface web de SexiLog, vous verrez que des données sont maintenant présentes.
En haut, vous pourrez notamment sélectionner la période pour laquelle vous souhaitez consulter les logs.

Sur la page d'accueil, vous verrez tout d'abord un graphique "Events over time" indiquant le nombre d'événements qui se sont produits.

En dessous de ce graphique, vous trouverez la liste de ces événements (All events).

En cliquant sur l'icône représentant un dossier affichée en haut de la page, vous pourrez accéder à différents dashboards (SexiBoards) :

• SexiBoard.FailedTo : permet de détecter et lister les différentes erreurs "failed to ..." qui se seraient produites sur votre serveur.
• SexiBoard.IORM : permet de surveiller les entrées/sorties au niveau du stockage (banques de données) et détecter ainsi une latence qui surviendrait sur votre serveur.
• SexiBoard.Kommandantur : permet de voir rapidement lorsque quelque chose commence à ne plus fonctionner correctement.
• SexiBoard.LogicalSession : ce dashboard utilise les compteurs de statistiques provenant du fichier "vpxd-filter.log".
• SexiBoard.msg : centralise les messages référencés en tant que "msg.xxxxxx".
• SexiBoard.NFSLock : répertorie tous les problèmes NFSLock, tels que : Introuvable, Occupé, ...
• SexiBoard.NMP : concerne le composant NMP (Native Multipathing) qui est un module gérant des sous-plugins.
• SexiBoard.precopyStunTime : permet de voir le temps d'étourdissement de pré-copie (pre-copy stun time) de vMotion (migration de VMs et/ou de son stockage).
• SexiBoard.quiescing : permet de visualiser les erreurs qui peuvent se produire lors de la sauvegarde de machine virtuelle / création de snapshots.
• SexiBoard.SenseData : répertorie les erreurs qui se sont produites sur votre réseau SCSI (Fiber Channel, FCoE, iSCSI, ...).
• SexiBoard.Snapshots : permet de voir l'historique de création et de suppression de snapshots. Ce qui arrive notamment lorsque vous sauvegardez des machines virtuelles.
• SexiBoard.SQLToolLong : permet de voir si une latence a été détectée au niveau du temps d'exécution SQL de vos requêtes.
• SexiBoard.VeeamBR : permet de traiter les interruptions SNMP envoyées depuis une console Veeam Backup.
• SexiBoard.vim : VIM signifie Virtual Infrastructure Methodology (l'API RESTful de VMware vSphere).
  Des données sont ajoutées dans ce dashboard "vim" à chaque fois que logstash voit quelque comme "vim.method.call".
• SexiBoard.VMFS3 : permet de détecter les problèmes de temps de réservation VMFS3 élevés.
  Ce qui se produit lorsqu'une opération de réservation / libération SCSI prend plus de temps que prévu (max 200 ms).
• SexiBoard.vmodl : VMODL signifie VMware Managed Object Design Language et répertorie les messages détectés lorsque logstash voit quelque chose comme "vmodl.fault.object".
• SexiBoard.vMotionDowntime : permet de visualiser le temps d'inaccessibilité de machines virtuelles (VMs) déplacées d'un hôte VMware ESXi à un autre via vMotion.
• SexiBoard.vMotionRate : permet de vérifier si une migration s'effectue à pleine vitesse ou non.

Pour plus d'information concernant les dashboards (SexiBoards) de SexiLog, référez-vous à la page "SexiBoards - SexiLog" du site officiel.

Voici quelques petits exemples ci-dessous, mais vous en trouverez plus sur la page "SexiBoards" citée précédemment.

Si vous sélectionnez le dashboard "SexiBoard.FailedTo", vous verrez que SexiLog vous affichera tous les événements de type "Failed to ...".

Comme expliqué précédemment, le dashboard "Kommandantur" vous permet de voir ce qui commence à ne plus fonctionner.
Dans notre cas, nous pouvons donc voir que la configuration du pare-feu a été changée plusieurs fois. Ce qui peut poser un problème de sécurité si cela n'était pas voulu.
Dans notre cas, il s'agit de l'activation de la règle "syslog" dans le pare-feu de notre hôte VMware ESXi qui nous permet d'autoriser le transfert des journaux (logs) à un serveur distant (SexiLog dans ce cas-ci).

9. Rediriger les journaux (logs) de VMware vCenter Server (VCSA)

Pour rediriger les journaux (logs) de VMware vCenter Server (VCSA) vers SexiLog, connectez-vous sur le port 5480 de votre serveur VCSA en tant que "administrator@vsphere.local" ou "root".
Notez que la page de connexion est nommée "VMware Appliance Management" dans ce cas-ci.

Une fois connecté sur la page "Gestion des dispositifs", allez dans la section "Syslog" et cliquez sur le lien "Configurer".

Pour transférer les journaux (logs) de votre serveur VCSA vers SexiLog, indiquez :

• Adresse du serveur : adresse IP de SexiLog.
• Protocole : TCP
• Port : 1514

Ensuite, cliquez sur Enregistrer.

L'hôte syslog distant apparait dans la liste et son statut de connexion est "Accessible" si le serveur SexiLog distant est allumé et joignable.
Notez que VCSA vous permet d'envoyer un message de test à vos serveurs syslogs pour tester si SexiLog reçoit bien vos logs.

Cliquez sur Envoyer.

Le message "Le message de test a été correctement envoyé à tous les serveurs Syslog." apparait.
Cliquez sur "Annuler" pour fermer cette fenêtre.