Despliegue de Gray

Configuración

Después de instalar todos los componentes, es necesario configurar Graylog correctamente para que pueda interactuar con MongoDB, OpenSearch y ser accesible a través de la interfaz web.

1. Configuración principal de Graylog

El archivo de configuración principal de Graylog se encuentra en /etc/graylog/server/server.conf. Ábralo para editar:

sudo nano /etc/graylog/server/server.conf

En este archivo, debe cambiar varios parámetros críticos:

• password_secret: Genera una clave secreta única. Esto es muy importante para la seguridad. Use el comando pwgen -N 96 -s 0 para crear una clave aleatoria larga.
• root_password_sha2: Hash SHA-256 de la contraseña para el usuario admin en la interfaz web de Graylog. Genérelo con el comando echo -n "su_contraseña" | sha256sum. Reemplace su_contraseña con la contraseña deseada para el administrador.
• root_email: Correo electrónico del administrador (opcional, pero útil).
• root_timezone: Zona horaria para el usuario admin. Por ejemplo, Europe/Moscow.
• http_bind_address: Dirección IP en la que Graylog escuchará las conexiones entrantes para la interfaz web. Establézcala en 127.0.0.1:9000, ya que usaremos Caddy para proxyar las solicitudes y añadir HTTPS.
• http_external_uri: URL completa por la que Graylog será accesible desde el exterior. Este será su dominio con HTTPS, por ejemplo, https://graylog.example.com/.
• opensearch_hosts: Lista de hosts de OpenSearch. Como está instalado localmente, especifique http://localhost:9200.
• mongodb_uri: URI para conectarse a MongoDB. Por defecto mongodb://localhost:27017/graylog.

Ejemplo de cambios en server.conf:

# ...
password_secret = [SECRETO_GENERADO_DE_96_CARACTERES]
root_password_sha2 = [HASH_DE_SU_CONTRASEÑA_PARA_ADMIN]
root_email = "[email protected]"
root_timezone = "Europe/Moscow"
# ...
http_bind_address = 127.0.0.1:9000 # Graylog escuchará localmente
http_publish_uri = http://127.0.0.1:9000/
http_external_uri = https://graylog.example.com/ # SU DOMINIO CON HTTPS
# ...
opensearch_hosts = http://localhost:9200
# ...
# mongodb_uri = mongodb://localhost:27017/graylog # Normalmente el valor por defecto es adecuado
# ...

Después de realizar los cambios, guarde el archivo. Inicie y habilite Graylog:

sudo systemctl daemon-reload
sudo systemctl enable graylog-server.service
sudo systemctl start graylog-server.service
sudo systemctl status graylog-server.service

Espere a que Graylog se inicie. Esto puede tardar varios minutos.

2. Configuración de TLS/HTTPS con Caddy

Para un acceso seguro a la interfaz web de Graylog, utilizaremos Caddy, un servidor web moderno con HTTPS automático. Caddy obtiene y renueva automáticamente los certificados SSL de Let's Encrypt.

Instalación de Caddy:

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy -y

Configuración de Caddy:

Cree o edite el archivo Caddyfile:

sudo nano /etc/caddy/Caddyfile

Añada la siguiente configuración (reemplace graylog.example.com con su dominio):

graylog.example.com {
    reverse_proxy 127.0.0.1:9000
    # Configuración para WebSocket (si es necesario, Graylog usa WebSockets)
    header_up Host {host}
    header_up X-Real-IP {remote_host}
    header_up X-Forwarded-Proto {scheme}
    header_up X-Forwarded-For {remote_host}
}

Guarde el archivo. Asegúrese de que su dominio graylog.example.com apunte a la dirección IP de su VPS en los registros DNS (registro A).

Reinicie Caddy para aplicar los cambios:

sudo systemctl enable caddy
sudo systemctl restart caddy
sudo systemctl status caddy

Caddy obtendrá automáticamente un certificado SSL. Si surgen problemas, revise los logs de Caddy (sudo journalctl -u caddy --no-pager) y asegúrese de que su dominio esté configurado correctamente en DNS y sea accesible desde internet.

3. Apertura de puertos en el firewall

Ahora que Graylog y Caddy están configurados, es necesario abrir los puertos correspondientes en UFW.

• 9000/tcp: Para acceso directo a Graylog (pero usamos Caddy, por lo que este puerto puede permanecer cerrado desde el exterior).
• 80/tcp y 443/tcp: Para Caddy (HTTP y HTTPS).
• 12201/udp y 12201/tcp: Puerto estándar para Graylog GELF (Graylog Extended Log Format) UDP/TCP.
• 514/udp y 514/tcp: Para Syslog UDP/TCP.
• 5044/tcp: Para Beats (Filebeat, Metricbeat, etc.).

Añada las reglas necesarias en UFW. Para empezar, abriremos los puertos para Caddy y GELF:

sudo ufw allow 80/tcp # Para Caddy (http)
sudo ufw allow 443/tcp # Para Caddy (https)
sudo ufw allow 12201/udp # Para entrada GELF UDP
sudo ufw allow 12201/tcp # Para entrada GELF TCP
sudo ufw reload # Recargamos las reglas de UFW
sudo ufw status # Verificamos el estado de UFW

Añada otros puertos según sea necesario, dependiendo de las fuentes de logs que vaya a utilizar.

4. Verificación del funcionamiento

Abra su navegador y vaya a https://graylog.example.com/ (reemplace con su dominio). Debería ver la página de inicio de sesión de Graylog. Inicie sesión con el nombre de usuario admin y la contraseña que estableció usando root_password_sha2.

Después de iniciar sesión, verifique en la sección "System" -> "Nodes" que su servidor Graylog esté iniciado y funcionando correctamente. También asegúrese de que en la sección "System" -> "Inputs" pueda crear una nueva entrada GELF UDP y que se inicie correctamente.

Copias de seguridad y mantenimiento

La copia de seguridad es una parte críticamente importante de cualquier sistema de producción. Graylog almacena sus datos en MongoDB (configuración, metadatos) y OpenSearch (los propios logs). Es importante realizar copias de seguridad de ambos componentes regularmente.

1. Qué respaldar

• Base de datos MongoDB: Contiene toda la configuración de Graylog, flujos (streams), paneles (dashboards), alertas, usuarios y metadatos. Este es el componente más importante para restaurar Graylog a un estado operativo.
• Archivos de configuración de Graylog: /etc/graylog/server/server.conf.
• Datos de OpenSearch: Los propios logs. En la mayoría de los casos, estos datos pueden perderse sin un daño crítico para la operatividad de Graylog (simplemente se perderá el historial de logs), pero para auditorías o análisis profundos pueden ser irremplazables. Las copias de seguridad de OpenSearch pueden ser muy voluminosas.

2. Copia de seguridad de MongoDB

MongoDB se puede respaldar utilizando la utilidad mongodump. Se recomienda realizar la copia de seguridad con el servidor Graylog apagado para garantizar la consistencia de los datos, pero para sistemas pequeños se puede hacer una copia de seguridad "en caliente".

# Creamos el directorio para las copias de seguridad
sudo mkdir -p /var/backups/mongodb

# Realizamos la copia de seguridad de la base de datos Graylog
sudo mongodump --db graylog --out /var/backups/mongodb/$(date +%Y%m%d%H%M%S)

# O copia de seguridad de todas las bases (si Graylog no es la única)
# sudo mongodump --out /var/backups/mongodb/$(date +%Y%m%d%H%M%S)

3. Copia de seguridad de los archivos de configuración

Simplemente copie el archivo de configuración de Graylog:

sudo cp /etc/graylog/server/server.conf /var/backups/graylog_server_conf_$(date +%Y%m%d%H%M%S).conf

4. Copia de seguridad de los datos de OpenSearch

La copia de seguridad de OpenSearch se realiza mejor utilizando la Snapshot API. Para ello, es necesario registrar un repositorio de instantáneas (por ejemplo, en NFS, S3 o localmente) y luego crear las instantáneas. Repositorio local:

# Creamos el directorio para las instantáneas de OpenSearch
sudo mkdir -p /var/backups/opensearch_snapshots
sudo chown opensearch:opensearch /var/backups/opensearch_snapshots

# Registramos el repositorio (se ejecuta a través de la API de OpenSearch)
curl -X PUT "http://localhost:9200/_snapshot/my_backup_repository" -H 'Content-Type: application/json' -d'
{
  "type": "fs",
  "settings": {
    "location": "/var/backups/opensearch_snapshots"
  }
}'

# Creamos una instantánea de todos los índices
curl -X PUT "http://localhost:9200/_snapshot/my_backup_repository/snapshot_$(date +%Y%m%d%H%M%S)?wait_for_completion=true"

Para la automatización, se puede usar un script y cron.

5. Script simple de copia de seguridad automática (cron + rsync)

Cree el script /usr/local/bin/graylog_backup.sh:

#!/bin/bash

BACKUP_DIR="/var/backups/graylog"
TIMESTAMP=$(date +%Y%m%d%H%M%S)
MONGODB_BACKUP_PATH="$BACKUP_DIR/mongodb/$TIMESTAMP"
CONFIG_BACKUP_PATH="$BACKUP_DIR/configs"
OPENSEARCH_SNAPSHOT_REPO="my_backup_repository"

mkdir -p "$MONGODB_BACKUP_PATH"
mkdir -p "$CONFIG_BACKUP_PATH"

echo "Iniciando copia de seguridad de Graylog en $TIMESTAMP..."

# Copia de seguridad de MongoDB
echo "  Realizando copia de seguridad de MongoDB..."
sudo mongodump --db graylog --out "$MONGODB_BACKUP_PATH"
if [ $? -eq 0 ]; then
    echo "  Copia de seguridad de MongoDB exitosa."
else
    echo "  Copia de seguridad de MongoDB FALLIDA."
fi

# Copia de seguridad de la configuración de Graylog
echo "  Realizando copia de seguridad de Graylog server.conf..."
sudo cp /etc/graylog/server/server.conf "$CONFIG_BACKUP_PATH/server.conf.$TIMESTAMP"
if [ $? -eq 0 ]; then
    echo "  Copia de seguridad de la configuración de Graylog exitosa."
else
    echo "  Copia de seguridad de la configuración de Graylog FALLIDA."
fi

# Crear instantánea de OpenSearch
echo "  Creando instantánea de OpenSearch..."
curl -X PUT "http://localhost:9200/_snapshot/$OPENSEARCH_SNAPSHOT_REPO/snapshot_$TIMESTAMP?wait_for_completion=true"
if [ $? -eq 0 ]; then
    echo "  Instantánea de OpenSearch exitosa."
else
    echo "  Instantánea de OpenSearch FALLIDA."
fi

echo "Copia de seguridad de Graylog finalizada."

# Eliminación de copias de seguridad antiguas (por ejemplo, de más de 7 días)
find "$BACKUP_DIR/mongodb/" -type d -mtime +7 -exec rm -rf {} +
find "$CONFIG_BACKUP_PATH/" -type f -mtime +7 -name "server.conf." -delete
# Para las instantáneas de OpenSearch, se debe usar la API de OpenSearch para eliminar instantáneas antiguas
# curl -X DELETE "http://localhost:9200/_snapshot/$OPENSEARCH_SNAPSHOT_REPO/snapshot_TO_DELETE"

sudo chmod +x /usr/local/bin/graylog_backup.sh

sudo crontab -e

0 3    /usr/local/bin/graylog_backup.sh >> /var/log/graylog_backup.log 2>&1

6. Dónde almacenar las copias de seguridad

Almacenar las copias de seguridad en el mismo servidor que el sistema de producción es altamente desaconsejable. En caso de un fallo de hardware del VPS o de compromiso del servidor, perderá tanto los datos como las copias de seguridad. Opciones recomendadas:

• Almacenamiento externo compatible con S3: Servicios en la nube como AWS S3, Backblaze B2, DigitalOcean Spaces. Se puede usar s3cmd o rclone para la sincronización automática de las copias de seguridad locales con la nube.
• VPS o NAS separado: Si tiene otro servidor, puede configurar rsync a través de SSH para copiar las copias de seguridad.
• BorgBackup o Restic: Estas utilidades permiten crear copias de seguridad incrementales, deduplicadas y cifradas que se pueden enviar a almacenamientos remotos.

7. Actualizaciones: rolling vs ventana de mantenimiento

La actualización de Graylog y sus componentes (OpenSearch, MongoDB, Java) debe realizarse con precaución. Siempre lea la documentación oficial de actualización para cada versión.

• Graylog: Generalmente requiere la detención del servicio. Se recomienda planificar una "ventana de mantenimiento" para las actualizaciones.
• OpenSearch: Para una instalación de un solo nodo, también se requiere la detención del servicio. En configuraciones de clúster, son posibles las actualizaciones "rolling".
• MongoDB: Las actualizaciones de versiones menores generalmente no requieren largos tiempos de inactividad, pero para versiones mayores también puede ser necesaria una ventana de mantenimiento.
• Java: Generalmente se puede actualizar sin detener otros servicios, pero reiniciar Graylog y OpenSearch después de una actualización de Java será una buena práctica.

¡Siempre realice copias de seguridad completas antes de cualquier actualización importante!

Solución de problemas + Preguntas frecuentes

Graylog no se inicia o la interfaz web no está disponible. ¿Qué hacer?

En primer lugar, verifique los logs de Graylog: sudo journalctl -u graylog-server --no-pager. Las causas más comunes son: password_secret o root_password_sha2 configurados incorrectamente, problemas de conexión a MongoDB u OpenSearch, http_bind_address o http_external_uri especificados incorrectamente. Asegúrese de que MongoDB y OpenSearch estén en ejecución y accesibles (sudo systemctl status mongod, sudo systemctl status opensearch, curl http://localhost:9200). Verifique el firewall UFW, asegúrese de que Caddy (si se usa) esté funcionando y proxying las solicitudes correctamente.

OpenSearch no se inicia o Graylog no lo ve.

Verifique los logs de OpenSearch: sudo journalctl -u opensearch --no-pager. Asegúrese de que se haya asignado suficiente memoria RAM (JVM heap size) – por defecto, OpenSearch intenta usar hasta la mitad de la RAM disponible. Si la RAM es insuficiente, esto puede provocar fallos. Verifique el archivo /etc/opensearch/opensearch.yml para la corrección de network.host (debe ser localhost para Graylog en el mismo servidor) y cluster.name. Asegúrese de que el puerto 9200 esté disponible localmente.

No veo los logs en Graylog después de configurar un Input.

Verifique que el Input en Graylog esté activo y en ejecución ("System" -> "Inputs"). Asegúrese de que el puerto del Input (por ejemplo, 12201 para GELF) esté abierto en el firewall UFW de su VPS. Verifique que la fuente de logs (por ejemplo, Filebeat, su servicio) esté configurada para enviar logs a la dirección IP correcta de su VPS y al puerto de Beats Input (por defecto 5044/tcp). Use tcpdump o netcat en el VPS para verificar si los paquetes llegan al puerto deseado (por ejemplo, sudo tcpdump -i any port 12201).

¿Cómo actualizar Graylog a una nueva versión?

Siempre lea la guía oficial de actualización de Graylog para su versión específica. El proceso general incluye detener el servidor Graylog, actualizar el paquete Graylog a través de apt upgrade graylog-server, verificar y posiblemente actualizar los archivos de configuración, y luego iniciar Graylog. Antes de actualizar, siempre realice una copia de seguridad completa de MongoDB y la configuración de Graylog.

¿Qué configuración mínima de VPS es adecuada?

Para cargas de trabajo pequeñas (hasta 100-200 mensajes por segundo), se requerirá un VPS mínimo con 2-4 vCPU, 8-12 GB de RAM y un disco SSD de 100-200 GB. Sin embargo, para un funcionamiento cómodo y la posibilidad de un pequeño crecimiento, se recomienda optar por 4 vCPU, 16 GB de RAM y 200-500 GB de SSD NVMe. El disco debe ser rápido, ya que OpenSearch es muy sensible al rendimiento de E/S.

¿Qué elegir: VPS o dedicado para esta tarea?

La elección entre VPS y dedicado depende del volumen de logs y la criticidad del sistema. Para la mayoría de las startups, desarrolladores y equipos pequeños, un VPS será la solución óptima y económica. Proporciona suficiente rendimiento y flexibilidad. Un servidor dedicado se vuelve necesario para cargas muy altas (miles de mensajes por segundo), almacenamiento a largo plazo de grandes volúmenes de datos (terabytes de logs), o cuando se requiere el máximo rendimiento y aislamiento de recursos. Los servidores dedicados ofrecen un rendimiento estable sin "vecinos ruidosos" y permiten el uso de subsistemas de disco más potentes.

¿Cómo configurar Graylog para recopilar logs de servidores remotos?

Para recopilar logs de servidores remotos, utilice agentes como Filebeat, Fluentd o rsyslog. Filebeat es la opción más popular para Graylog, ya que es ligero y fácil de configurar. En Graylog, debe crear un Input correspondiente (por ejemplo, "Beats Input" para Filebeat). En el servidor remoto, instale Filebeat, configúrelo para leer los logs deseados y enviarlos a la dirección IP de su VPS Graylog y al puerto de Beats Input (por defecto 5044/tcp). No olvide abrir este puerto en UFW en el VPS de Graylog.

Conclusiones y próximos pasos

Hemos desplegado Graylog 6.0 con éxito en su VPS, creando una plataforma potente y flexible para la recopilación y el análisis centralizado de logs. Ha obtenido un sistema en funcionamiento con MongoDB para la configuración, OpenSearch para el almacenamiento de datos y Caddy para un acceso seguro por HTTPS. Este es un paso significativo para aumentar la transparencia de su infraestructura y la respuesta operativa a incidentes.

Los próximos pasos pueden incluir la integración de Graylog con su infraestructura existente (configuración de Filebeat en todos sus servidores), la creación de paneles (dashboards) para visualizar métricas clave y la configuración de alertas complejas para eventos críticos. Para escalar el sistema, considere la posibilidad de dedicar OpenSearch a un servidor separado o configurar un clúster de OpenSearch para mejorar el rendimiento y la tolerancia a fallos a medida que aumentan los volúmenes de logs.