前書き

　業務上、Syslogサーバでの検証が必要になったため、自分で構築してみることにしました。
　検証用として VirtualBox 上に軽量な Syslog サーバを立てたいと考えましたが、一般的な Ubuntu や Debian を使うとリソース消費が大きくなってしまいます。

　それに対して Alpine Linux は非常に軽量で、仮想環境でも負荷が極めて低いため、今回は Alpine Linux を採用することにしました。

　つまり、Alpine は無駄が少なく、動作が速く、ディスク容量の節約にも優れている点が気に入りました。

環境：macOS 13.7.2（Intel）、VirtualBox
利用するイメージ：Alpine 3.21 (x86_64) ISO
standard ISO：alpine-standard-3.21.0-x86_64.iso
https://dl-cdn.alpinelinux.org/alpine/v3.21/releases/x86_64/

設計目安

用途：ネットワーク機器／サーバから syslog（UDP/TCP 514）を受信し、送信元ホスト別に保存

VMリソース：
・vCPU: 1
・RAM: 1GB
・ディスク: 40GB
・ネットワーク： Bridged（同一L2内で通信）

保存方針：/var/log/remote 以下にホスト別ディレクトリ、日次ローテーション、総量 20GB 上限

VirtualBox上でVMを立ち上げ

新規 → 名前例「syslog-alpine」 / タイプ: Linux / バージョン: Other Linux (64-bit)
メモリ：1024MB（512MB でも可）
プロセッサ：1
仮想ディスク：20GB
設定 → システム：EFI不要（チェック外すまま）
設定 → ネットワーク：ブリッジアダプター（Wi-Fi を選択）
設定 → ストレージ：コントローラに Alpine ISOをマウント
Boot Order（起動順序）を確認
VirtualBox → Settings → System → Motherboard
Boot Order:Hard Disk を最優先にしてください。
起動して OS インストールへ

setup-alpineで環境を初始化

1 . コマンドラインで「setup-alpine」を入力し、順番に出てくる質問に対してキーボード入力で回答していきます。

setup-alpine

2 . Keyboard layout（キーボードレイアウト）: jsかus

3 . Keyboard variant（キーボードバリアント）: 特にこだわりがなければ、そのまま Enter、そのまま進まない場合は再度「us」

4 . System hostname（ホスト名）: syslog

5 . Network interface（ネットワークインターフェース）: eth0

6 . IP の取得方法（DHCP を使うか）: dhcp

7 . DNS の手動設定を行うか？: 不要なので Enter

8 . root パスワード設定: 入力・再入力

9 . タイムゾーン: Asia/Tokyo

10 . Proxy（プロキシ）: 使わない場合は Enter

11 . APK ミラー（パッケージ倉庫）: デフォルトで OK → Enter

12 . ユーザーをセット

12 . SSH サーバの選択: 最も一般的で便利なのは openssh → openssh

13 . SSH 設定: 追加の設定が聞かれますが、デフォルトで OK なので Enter

14 . インストール先ディスクの選択: VirtualBox の disk は通常 /dev/sda → sda

15 . インストール方法（sys / data / lvm）: 通常は sys（フルインストール）を選びます → sys

16 . ディスク消去の確認: y

17 . 16の後にインストールが自動的に開始、完了すると：「Installation successful」が表示されます。

18 . 再起動：reboot

19 . 再起動後に確認すべきこと: 「ip addr」でネットワークが上がっているかを確認、次に「ping 8.8.8.8」でインターネット通信化どうかを確認します。

20 . パッケージ更新: apk update

Syslogサーバを構築

1 . Alpine の基本更新とログサービス導入

apk update
apk upgrade
apk add syslog-ng logrotate

※syslog-ng が標準のSyslogデーモンです（rsyslogより軽い）。

2 . 自動起動の設定

rc-update add syslog-ng default
service syslog-ng start

3 . Syslog受信設定
デフォルトではローカルログしか受け付けないため、外部デバイスからログを受け取るようにします。

ファイルを編集：

vi /etc/syslog-ng/syslog-ng.conf

次の内容を追加または修正します（最後の方にOK）

# --- Remote log receiver ---
source s_net {
    syslog(transport(udp) ip("0.0.0.0") port(514));
    syslog(transport(tcp) ip("0.0.0.0") port(514));
};

destination d_per_host {
    file("/var/log/remote/${HOST}/${PROGRAM}.log");
};

log { source(s_net); destination(d_per_host); };

保存して再読み込み：

service syslog-ng reload

4 . ログファイルのローテーション設定（容量制限）
/etc/logrotate.d/syslog-ng を作成：

/var/log/remote/*/*.log 
{
    daily
    rotate 30
    size 50M
    compress
    delaycompress
    missingok
    notifempty
}

これで毎日ローテーションし、最大30世代・1ファイル50MBで古いものを自動圧縮します。

5 . ファイアウォール制御（UDP 514のみ開放）

apk add iptables
rc-update add iptables default
iptables -A INPUT -p udp --dport 514 -j ACCEPT
iptables -A INPUT -p tcp --dport 514 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
/etc/init.d/iptables save

6 . テスト送信
ホストMacから：

echo "<13>$(date) Hello from test Mac" | nc -u -w1 <Syslog_VM_IP> 514

<13> は Syslog PRI（facility+severity）

13 = user.notice（ユーザーログ・通知レベル）

-u = UDP

-w1 = タイムアウト1秒

Syslog_VM_IP = あなたの Syslog サーバのIPアドレス

514 = Syslog標準ポート

その後、VM上で確認：

ls /var/log/remote/
tail -f /var/log/remote/<送信元ホスト名>/messages.log

または

tail -f /var/log/remote/*/*.log

MacからのSyslogを受信できました！