整合vRealize Log Insight和NSX实现集中式日志管理

【大咖・来了 第7期】10月24日晚8点观看《智能导购对话机器人实践》

集中式日志系统在任何环境都能够发挥重要作用，而对于VMware NSX和其众多分布式组件来说，其更是不可或缺的。这就是为什么VMware为NSX添加 vRealize Log Insight，一种专门收集 vSphere和NSX日志的Log Insight版本。从NSX 6.2.3开始， VRealize Log Insight被正式加入到所有版本的NSX中。

vRealize Log Insight for NSX和普通Log Insight之间的主要区别在于前者的用户许可(EULA)只限于 vSphere和NSX日志数据。如果你仍旧在使用NSX 6.1.x，并且能够升级到NSX 6.2.3，那么可以下载全新版本的Log Insight。

下面我们将会详细介绍NSX需要启用哪些日志组件、如何启用它们，以及一些使用 vRealize Log Insight NSX的小技巧。

NSX和vRealize Log Insight之间的授权许可详细对应关系如下：NSX标准版、高级版和企业版授权为用户提供了针对每个NSX CPU的一个 Log Insight Standard CPU。NSX Term标准版、高级版和企业版授权为用户提供了针对每个NSX Term CPU的一个 Log Insight Standard CPU。针对Term授权的Log Insight Standard CPU最终会过期;授权会显示过期日期。***，NSX for Desktop 高级和企业板授权针对每50个NSX Desktop CPU提供了一个Log Insight Standard CPU。

从部署 vRealize Log Insight appliance开始;管理员可以使用appliance的配置向导完成初始化配置过程，配置 vRealize Log Insight从ESXi主机接收日志信息。比如，对于分布式防火墙来说，日志出现在特定虚拟机所在的主机上——但是由于虚拟机很有可能在集群主机之间变换位置，因此使用集中式日志工具十分重要。

Content packs

部署vRealize Log Insight之后，管理员还需要安装ESX content pack，其能够允许 vRealize Log Insight翻译从NSX接收到的信息。这些content pack是集中式日志服务器和应用程序之间的桥梁;没有它们，应用程序便不能产生日志条目。

安装content pack需要首先定位到 vRealize Log Insight的右上角菜单，访问管理界面的应用市场。之后安装vSphere Content Pack(如图A所示)。

图A. 安装Install the NSX-vSphere Content Pack.

之后需要配置NSX组件。首先是NSX Manager，这是监控和配置其他NSX组件的web界面。

管理员可以在Manage选项中找到vRealize Log Insight服务器的入口点。

由于每个NSX Manager 都连接到 vCenter实例 ，因此这种整合方式允许管理员查看和NSX服务器以及vCenter同时相关的日志条目。因此如果NSX在vCenter中进行配置遇到问题，那么这些问题都将会出现在日志条目中。

图B. NSX管理界面

许多其他组件在NSX中创建和配置之后就会自动启动日志功能。比如，如图C所示，管理员可以看到在哪里为分布式逻辑路由器配置syslog服务器;同样的方式也适用于 NSX Edge appliance，因为二者都拥有Manage和Setting选项卡。

图C.为Distributed Logical Router配置分布式syslog服务器

如果管理员还想要配置NSX控制器向syslog服务器发送日志，那么必须直接使用HTTP REST API进行配置。

如果想要将ESXi日志转发到 vRealize Log Insight，那么分布式防火墙日志也将会被自动转发。这是因为防火墙日志条目存储在/var/log/dfwpktlogs.log中，当为ESXi主机配置集中syslog服务器时这些也将会被自动转发。

防火墙默认不会记录任何日志信息，所以管理员必须在vSphere Web Client中更改防火墙规则以启用防火墙日志功能。

部署NSX和vRealize Log Insight整合之后，就可以使用Interactive Analytics来找到被NSX转发的日志条目了。比如，你会发现针对 SpoofGuard的报警作为分布式防火墙日志的一部分而被转发。

图D. NSX命令行界面 SpoofGuard

这些信息允许管理员基于查询创建报警，因为不论何时发生一些事情，管理员都可以通过邮件或者vRealize Operations Manager收到报警。Dashboard是 NSX和vRealize Log Insight整合的另外一个重要组成部分;这些 dashboard可以帮助管理员定位NSX环境的问题。