Cómo implementar un servidor de registros centralizados con Grafana Loki y software libre

Idea central: Loki almacena y consulta logs, Alloy los recopila desde servidores Linux, y Grafana permite explorarlos visualmente. Juntos forman una solución ligera, escalable y adecuada para observabilidad moderna.

Nota actualizada: Promtail ya no debe ser la primera opción para nuevas instalaciones. Grafana indica que Promtail llegó a fin de vida el 2 de marzo de 2026 y que el desarrollo futuro ocurre en Grafana Alloy.

• Servidor central: ejecuta Grafana y Loki.
• Servidores clientes: ejecutan Grafana Alloy.
• Grafana Alloy: recopila logs de archivos, systemd journal, syslog, Docker o Kubernetes.
• Grafana: permite consultar, visualizar y explorar logs con LogQL.
• Firewall o VPN: protege el acceso a Loki y Grafana.

sudo apt update
sudo apt full-upgrade -y
sudo apt install -y ca-certificates curl gnupg lsb-release
sudo apt install -y docker.io docker-compose-plugin
sudo systemctl enable --now docker

sudo mkdir -p /opt/loki/{grafana/provisioning/datasources,loki-data}
sudo chown -R $USER:$USER /opt/loki
cd /opt/loki

cat > docker-compose.yml <<'EOF'
services:
  loki:
    image: grafana/loki:3.7.0
    container_name: loki
    command: -config.file=/etc/loki/local-config.yaml
    ports:
      - "3100:3100"
    volumes:
      - ./loki-data:/loki
    restart: unless-stopped

grafana:
image: grafana/grafana:latest
container_name: grafana
ports:
- "3000:3000"
environment:
- GF_SECURITY_ADMIN_USER=admin
- GF_SECURITY_ADMIN_PASSWORD=CambiaEstaClaveSegura
- GF_USERS_ALLOW_SIGN_UP=false
volumes:
- grafana-data:/var/lib/grafana
- ./grafana/provisioning:/etc/grafana/provisioning
depends_on:
- loki
restart: unless-stopped

volumes:
grafana-data:
EOF

cat > grafana/provisioning/datasources/loki.yml <<'EOF'
apiVersion: 1

datasources:

* name: Loki
  type: loki
  access: proxy
  url: http://loki:3100
  isDefault: true
  editable: true
  EOF

docker compose up -d
docker compose ps

curl http://localhost:3100/ready

http://IP_DEL_SERVIDOR:3000

Seguridad: no publiques Grafana ni Loki directamente en Internet. Usa VPN, firewall, reverse proxy con TLS y autenticación. Loki no incluye una capa de autenticación propia por defecto.

sudo ufw allow OpenSSH
sudo ufw allow from 192.168.1.0/24 to any port 3000 proto tcp
sudo ufw allow from 192.168.1.0/24 to any port 3100 proto tcp
sudo ufw enable
sudo ufw status verbose

sudo apt install -y gpg wget
sudo mkdir -p /etc/apt/keyrings
sudo wget -O /etc/apt/keyrings/grafana.asc https://apt.grafana.com/gpg-full.key
sudo chmod 644 /etc/apt/keyrings/grafana.asc

echo "deb [signed-by=/etc/apt/keyrings/grafana.asc] https://apt.grafana.com stable main" | 
sudo tee /etc/apt/sources.list.d/grafana.list

sudo apt update
sudo apt install -y alloy

wget -q -O gpg.key https://rpm.grafana.com/gpg.key
sudo rpm --import gpg.key

echo -e '[grafana]
name=grafana
baseurl=https://rpm.grafana.com
repo_gpgcheck=1
enabled=1
gpgcheck=1
gpgkey=https://rpm.grafana.com/gpg.key
sslverify=1
sslcacert=/etc/pki/tls/certs/ca-bundle.crt' | 
sudo tee /etc/yum.repos.d/grafana.repo

sudo dnf install -y alloy

sudo nano /etc/alloy/config.alloy

loki.write "central" {
  endpoint {
    url = "http://IP_DEL_SERVIDOR_LOKI:3100/loki/api/v1/push"
  }
}

local.file_match "linux_logs" {
path_targets = [
{ "**path**" = "/var/log/syslog",  "job" = "syslog",  "host" = constants.hostname },
{ "**path**" = "/var/log/auth.log", "job" = "auth",    "host" = constants.hostname },
{ "**path**" = "/var/log/kern.log", "job" = "kernel",  "host" = constants.hostname },

```
{ "__path__" = "/var/log/messages", "job" = "messages", "host" = constants.hostname },
{ "__path__" = "/var/log/secure",   "job" = "secure",   "host" = constants.hostname }
```

]
}

loki.source.file "linux_logs" {
targets    = local.file_match.linux_logs.targets
forward_to = [loki.write.central.receiver]
}

loki.source.journal "systemd" {
max_age    = "24h"
labels     = {
job  = "systemd-journal",
host = constants.hostname,
}
forward_to = [loki.write.central.receiver]
}

sudo systemctl enable --now alloy
sudo systemctl restart alloy
sudo systemctl status alloy --no-pager

journalctl -u alloy -n 100 --no-pager

{job="syslog"}

{job="auth"} |= "failed"

{host="servidor-web-01"}

{job="systemd-journal"} |= "error"

{job="auth"} |~ "failed|invalid|authentication"

sum by (job) (
  count_over_time({job=~"syslog|auth|kernel|messages|secure"} |= "error" [5m])
)

logger "PRUEBA-LOKI evento generado desde servidor Linux"

{job=~"syslog|systemd-journal"} |= "PRUEBA-LOKI"

docker plugin install grafana/loki-docker-driver:3.7.0-amd64 \
--alias loki --grant-all-permissions

docker run -d --name nginx-demo \
--log-driver=loki \
--log-opt loki-url="http://IP_DEL_SERVIDOR_LOKI:3100/loki/api/v1/push" \
-p 8080:80 nginx

Evita alta cardinalidad: no uses como etiquetas valores únicos o cambiantes como IP de cliente, ID de sesión, ID de transacción, usuario final o número de solicitud. Esos datos deben quedar dentro del contenido del log, no como etiqueta.

Controles mínimos

• No exponer Loki ni Grafana públicamente.
• Usar VPN, TLS y autenticación fuerte.
• Restringir el puerto 3100 solo a servidores autorizados.
• Evitar registrar contraseñas, tokens, llaves privadas o datos personales.
• Definir política de retención según norma, necesidad y capacidad de disco.
• Configurar respaldos para la configuración y datos críticos.
• Separar ambientes de producción, pruebas y desarrollo.
• Revisar quién tiene permisos de lectura en Grafana.

¿Grafana Loki reemplaza a Elasticsearch?

No siempre. Loki es excelente para logs operativos y observabilidad con bajo costo de indexación. Elasticsearch puede ser más adecuado cuando necesitas búsqueda textual compleja e indexación completa del contenido.

¿Debo usar Promtail o Grafana Alloy?

Para nuevas instalaciones, usa Grafana Alloy. Promtail llegó a fin de vida en marzo de 2026 y ya no recibe soporte ni desarrollo futuro.

¿Loki guarda métricas?

Loki se enfoca en logs. Para métricas se suele usar Prometheus, y para trazas se puede usar Tempo u OpenTelemetry.

¿Puedo usar Loki para contenedores?

Sí. Puedes enviar logs de contenedores usando Alloy, Kubernetes, Docker driver u otros clientes compatibles.

¿Loki es seguro por defecto?

No debes asumirlo. Loki no incluye una capa de autenticación propia por defecto, por lo que debes protegerlo con firewall, VPN o proxy autenticado.

¿Sirve para una pyme?

Sí. Una pyme puede usar Loki para centralizar logs de servidores web, bases de datos, aplicaciones y servicios internos, siempre que controle seguridad y retención.

• Guía completa de observabilidad: cómo monitorear servidores Linux, aplicaciones y contenedores
• OpenTelemetry explicado desde cero para administradores de sistemas
• Cómo implementar monitoreo y observabilidad en infraestructuras Linux empresariales
• Inteligencia Artificial para administradores de sistemas: tareas que puedes automatizar en servidores Linux

Conclusión editorial

Centralizar logs no es solo una mejora técnica: es una práctica esencial de operación, seguridad y observabilidad. Loki destaca porque ofrece una forma eficiente de almacenar y consultar registros sin asumir los costos de indexarlo todo. Para administradores Linux, es una herramienta clave para pasar de revisar servidores uno por uno a operar con una visión centralizada.