DDoS-Schutzvorgänge auf der Kontrollebene verfolgen

Die Ablaufverfolgungsfunktion von Junos OS verfolgt DDoS-Schutzvorgänge auf Steuerungsebene und zeichnet Ereignisse in einer Protokolldatei auf. Die in der Protokolldatei erfassten Fehlerbeschreibungen enthalten detaillierte Informationen, die Sie bei der Lösung von Problemen unterstützen.

Standardmäßig wird nichts nachgezeichnet. Wenn Sie den Ablaufverfolgungsvorgang aktivieren, lautet das Standardverhalten der Ablaufverfolgung wie folgt:

Wichtige Ereignisse werden in einer Datei protokolliert, die /var/log sich im Verzeichnis befindet. Standardmäßig verwendet der Router den Dateinamen jddosd. Sie können einen anderen Dateinamen angeben, aber Sie können das Verzeichnis, in dem sich Ablaufverfolgungsdateien befinden, nicht ändern.
Wenn die Ablaufverfolgungsprotokolldatei filename 128 Kilobyte (KB) erreicht, wird sie komprimiert und umbenannt filename.0.gz. Nachfolgende Ereignisse werden in einer neuen Datei mit dem Namen filenameprotokolliert, bis sie wieder die Kapazität erreicht. An dieser Stelle filename.0.gz wird umbenannt filename.1.gz und filename komprimiert und umbenannt filename.0.gz. Dieser Vorgang wiederholt sich so lange, bis die Anzahl der archivierten Dateien die maximale Dateianzahl erreicht. Dann wird die älteste Trace-Datei – die mit der höchsten Nummer – überschrieben.

Optional können Sie die Anzahl der Ablaufverfolgungsdateien zwischen 2 und 1000 angeben. Sie können auch die maximale Dateigröße zwischen 10 KB und 1 Gigabyte (GB) konfigurieren. (Weitere Informationen zum Erstellen von Protokolldateien finden Sie im Systemprotokoll-Explorer.)

Standardmäßig kann nur der Benutzer, der den Ablaufverfolgungsvorgang konfiguriert, auf Protokolldateien zugreifen. Optional können Sie den schreibgeschützten Zugriff für alle Benutzer konfigurieren.

In diesem Thema wird beschrieben, wie Sie alle Aspekte von DDoS-Schutz-Tracing-Vorgängen auf Steuerungsebene konfigurieren können.

Konfigurieren des Dateinamens des DDoS-Schutz-Trace-Protokolls der Steuerungsebene

Standardmäßig lautet jddosdder Name der Datei, die die Trace-Ausgabe für den DDoS-Schutz der Steuerungsebene aufzeichnet, . Mit der file Option können Sie einen anderen Namen angeben.

So konfigurieren Sie den Dateinamen für Ablaufverfolgungsvorgänge der Abonnentenverwaltungsdatenbank:

Geben Sie den Namen der Datei an, die für die Ablaufverfolgungsausgabe verwendet wird.

Konfigurieren der Anzahl und Größe der DDoS-Schutzprotokolldateien der Steuerungsebene

Optional können Sie die Anzahl der komprimierten, archivierten Ablaufverfolgungsprotokolldateien zwischen 2 und 1000 angeben. Sie können auch die maximale Dateigröße zwischen 10 KB und 1 Gigabyte (GB) konfigurieren. Die Standardgröße beträgt 128 Kilobyte (KB).

Die archivierten Dateien werden durch ein Suffix im Format .number.gzunterschieden. Die neueste archivierte Datei ist .0.gz und die älteste archivierte Datei ist .(maximum number)-1.gz. Wenn die aktuelle Ablaufverfolgungsprotokolldatei die maximale Größe erreicht, wird sie komprimiert und umbenannt, und alle vorhandenen archivierten Dateien werden umbenannt. Dieser Vorgang wiederholt sich, bis die maximale Anzahl archivierter Dateien erreicht ist, woraufhin die älteste Datei überschrieben wird.

Sie können z. B. die maximale Dateigröße auf 2 MB und die maximale Anzahl von Dateien auf 20 festlegen. Wenn die Datei, die die Ausgabe des Ablaufverfolgungsvorgangs empfängt, 2 MB erreicht, filenamekomprimiert und umbenannt filename.0.gzwird, filename wird eine neue Datei namens erstelltfilename. Wenn das neue filename 2 MB erreicht, filename.0.gz wird es umbenannt filename.1.gz und filename komprimiert und umbenanntfilename.0.gz. Dieser Vorgang wird wiederholt, bis 20 Ablaufverfolgungsdateien vorhanden sind. Dann wird die älteste Datei, filename.19.gz, einfach überschrieben, filename.18.gz wenn die nächstälteste Datei komprimiert und in umbenannt wirdfilename.19.gz.

So konfigurieren Sie die Anzahl und Größe von Ablaufverfolgungsdateien:

Geben Sie den Namen, die Nummer und die Größe der Datei an, die für die Ablaufverfolgungsausgabe verwendet wird.

Konfigurieren des Zugriffs auf die DDoS-Schutzprotokolldatei der Steuerungsebene

Standardmäßig kann nur der Benutzer, der den Ablaufverfolgungsvorgang konfiguriert, auf die Protokolldateien zugreifen. Sie können allen Benutzern das Lesen der Protokolldatei ermöglichen und das Standardverhalten der Protokolldatei explizit festlegen.

So legen Sie fest, dass alle Benutzer die Protokolldatei lesen können:

Konfigurieren Sie die Protokolldatei so, dass sie für alle lesbar ist.

Um das Standardverhalten explizit festzulegen, kann nur der Benutzer, der die Ablaufverfolgung konfiguriert hat, die Protokolldatei lesen:

Konfigurieren Sie die Protokolldatei so, dass sie nicht für alle lesbar ist.

Konfigurieren eines regulären Ausdrucks für DDoS-Schutzmeldungen auf Steuerungsebene, die protokolliert werden sollen

Standardmäßig enthält die Ausgabe des Ablaufverfolgungsvorgangs alle Meldungen, die für die protokollierten Ereignisse relevant sind.

Sie können die Ausgabe verfeinern, indem Sie reguläre Ausdrücke einschließen, die abgeglichen werden sollen.

So konfigurieren Sie reguläre Ausdrücke, die abgeglichen werden sollen:

Konfigurieren Sie den regulären Ausdruck.

Konfigurieren der DDoS-Schutz-Tracing-Flags der Steuerungsebene

Standardmäßig werden nur wichtige Ereignisse protokolliert. Sie können angeben, welche Ereignisse und Vorgänge protokolliert werden, indem Sie ein oder mehrere Ablaufverfolgungsflags angeben.

So konfigurieren Sie die Flags für die zu protokollierenden Ereignisse:

Konfigurieren Sie die Flags.

Konfigurieren des Schweregrads zum Filtern, welche DDoS-Schutzmeldungen der Steuerungsebene protokolliert werden

Die Meldungen, die einem protokollierten Ereignis zugeordnet sind, werden nach Schweregrad kategorisiert. Sie können den Schweregrad verwenden, um zu bestimmen, welche Meldungen für den Ereignistyp protokolliert werden. Der Schweregrad, den Sie konfigurieren, hängt von dem Problem ab, das Sie beheben möchten. In einigen Fällen sind Sie möglicherweise daran interessiert, alle Meldungen anzuzeigen, die für das protokollierte Ereignis relevant sind, daher geben all Sie oder anverbose. Beide Optionen erzeugen eine große Menge an Ausgabe. Sie können einen restriktiveren Schweregrad angeben, z. Bnotice. oder info zum Filtern der Meldungen. Standardmäßig enthält die Ausgabe des Ablaufverfolgungsvorgangs nur Meldungen mit dem Schweregrad .error

So konfigurieren Sie den Typ der zu protokollierenden Nachrichten:

Konfigurieren Sie den Schweregrad der Nachricht.