Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
AUF DIESER SEITE
 

Protokollmeldungen für Chassis-Cluster der SRX-Serie

Sitzungen und Paketflüsse im Überblick

Sie können Informationen zu den auf Ihrem Gerät aktiven Sitzungen und Paketflüssen abrufen, einschließlich detaillierter Informationen zu bestimmten Sitzungen. (Das Gerät der SRX-Serie zeigt auch Informationen über fehlgeschlagene Sitzungen an.) Sie können diese Informationen anzeigen, um Aktivitäten zu beobachten und zu Debugging-Zwecken.

Verwenden Sie den show security flow session Befehl beispielsweise, um:

  • Zeigen Sie eine Liste der eingehenden und ausgehenden IP-Datenströme, einschließlich der Dienste, an.

  • Zeigen Sie die Sicherheitsattribute an, die einem Flow zugeordnet sind, z. B. die Richtlinien, die für den Datenverkehr gelten, der zu diesem Flow gehört.

  • Zeigen Sie den Sitzungstimeoutwert an, wann die Sitzung aktiv wurde, wie lange sie aktiv war und ob in der Sitzung aktiver Datenverkehr vorhanden ist.

Ausführliche Informationen zu diesem Befehl finden Sie in der Junos OS CLI-Referenz.

Sitzungsinformationen können auch protokolliert werden, wenn eine entsprechende Richtlinienkonfiguration die Protokollierungsoption enthält. Die Sitzungsprotokollierungsinfrastruktur protokolliert die Sitzungsprotokollmeldungen, wenn eine Sitzung erstellt, geschlossen, abgelehnt oder abgelehnt wird. In den SRX3000- und SRX5000-Zeilen werden die Protokollmeldungen unter Umgehung der Routing-Engine direkt an einen externen Syslog-Server/ein externes Repository gestreamt. Die Geräte der SRX-Serie unterstützen sowohl herkömmliches als auch strukturiertes Syslog. Die SRX3000- und SRX5000-Leitungen unterstützen 1000 Protokollmeldungen pro Sekunde, und die Management-Station muss für diese Menge ausgerüstet sein. Konfigurationsbeispiele und Details zu diesen Protokollen finden Sie im Konfigurationshandbuch für die Sicherheit von Junos OS . Die Protokolle sind über die Verwaltungsschnittstelle des primären und sekundären Knotens verfügbar. Stellen Sie sicher, dass der externe Server, der diese Protokollmeldungen empfängt, für beide Knoten erreichbar ist.

Die High-End-Geräte der SRX-Serie verfügen über eine verteilte Verarbeitungsarchitektur, die sowohl Datenverkehr verarbeitet als auch Protokollmeldungen generiert. Bei den Geräten der SRX-Serie verarbeitet die Firewall die Datenverkehrssitzungen auf jeder der SPUs im Gehäuse. Nachdem jede Sitzung erstellt wurde, wird sie von derselben SPU im Chassis verarbeitet, die auch die SPU ist, die die Protokollmeldung generiert.

Die Standardmethode zum Generieren von Protokollmeldungen besteht darin, dass jede SPU die Nachricht als UDP-Syslog-Nachricht generiert und direkt über die Datenebene an den Syslog-Server sendet. Die Geräte der SRX-Serie können extrem hohe Datenverkehrsraten protokollieren. Sie können bis zu 750 MB pro Sekunde an Protokollnachrichten protokollieren, was die Grenzen der Steuerungsebene überschreitet. Daher wird davon abgeraten, Nachrichten auf der Steuerungsebene zu protokollieren, außer unter bestimmten Umständen.

Bei Zweigstellengeräten der SRX-Serie, auf denen Junos OS Version 9.6 und höher ausgeführt wird, und High-End-Geräten der SRX-Serie, auf denen Junos OS Version 10.0 und höher ausgeführt wird, können die Geräte Nachrichten mit einer begrenzten maximalen Rate (1000 Protokollmeldungen pro Sekunde) auf der Steuerungsebene protokollieren, anstatt sie auf der Datenebene zu protokollieren. Wenn die Protokollmeldungen mithilfe von syslog über die Data Plane gesendet werden, muss ein Syslog-Collector (z. B. der Juniper Security Threat Response Manager, STRM) verwendet werden, um die Protokolle für die Anzeige, Berichterstellung und Warnung zu erfassen. In Zweigstellengeräten der SRX-Serie, auf denen Junos OS Version 9.6 und höher ausgeführt wird, und High-End-Geräten der SRX-Serie, auf denen Junos OS Version 10.0 und höher ausgeführt wird, können die Geräte Protokollmeldungen nur an die Datenebene oder die Steuerungsebene senden, nicht jedoch an beide gleichzeitig.

Konfigurieren der High-End-Geräteprotokollierung der SRX-Serie

  1. Konfigurieren Sie das Protokollierungsformat.

    Es gibt zwei unterstützte Formate für Systemprotokollmeldungen: strukturiert und Standard. Strukturiertes Syslog wird im Allgemeinen bevorzugt, da es den Feldern einen Titel voranstellt. Das Feld für die Quell-IP-Adresse lautet beispielsweise source-address="10.102.110.52" und nicht nur die IP-Adresse 10.102.110.52. Im folgenden Befehl konfiguriert die Option das strukturierte Syslog, während die format sd-syslog format syslog Option das Standard-Syslog konfiguriert.

    user@host# set security log format sd-syslog

  2. Konfigurieren Sie die Syslog-Quelladresse.

    Die Syslog-Quelladresse kann eine beliebige IP-Adresse sein. Es muss sich nicht um eine IP-Adresse handeln, die dem Gerät zugewiesen ist. Stattdessen wird diese IP-Adresse auf dem Syslog-Collector verwendet, um die Syslog-Quelle zu identifizieren. Die bewährte Methode besteht darin, die Quelladresse als IP-Adresse der Schnittstelle zu konfigurieren, über die der Datenverkehr gesendet wird.

    user@host# set security log source-address ip-address

  3. Konfigurieren Sie den Systemprotokolldatenstrom.

    Der Systemprotokolldatenstrom identifiziert die Ziel-IP-Adresse, an die die Syslog-Meldungen gesendet werden. Auf den High-End-Geräten der SRX-Serie, auf denen Junos OS Version 9.5 und höher ausgeführt wird, können bis zu zwei Syslog-Streams definiert werden (alle Meldungen werden an die Syslog-Streams gesendet). Beachten Sie, dass Sie dem Stream einen Namen geben müssen. Dieser Name ist willkürlich, aber es empfiehlt sich, den Namen des Syslog-Collectors zur einfachen Identifizierung in der Konfiguration zu verwenden.

    Sie können auch den UDP-Port definieren, an den die Protokollnachrichten gesendet werden. Standardmäßig werden Protokollmeldungen an den UDP-Port 1514 gesendet.

    So konfigurieren Sie die IP-Adresse des Systemprotokollservers:

    user@host# set security log stream name host ip-address

    So konfigurieren Sie die IP-Adresse des Systemprotokollservers und geben die UDP-Portnummer an:

    user@host# set security log stream name host ip-address port port

Konfiguration der High-End-Datenebenenprotokollierung der SRX-Serie auf der Steuerungsebene

Wenn die Verwaltungsstation keine Protokollmeldungen von der Datenebene empfangen kann, konfigurieren Sie sie so, dass Nachrichten über die Verwaltungsverbindung gesendet werden. Wenn Sie sich bei der Steuerungsebene anmelden, können die Geräte der SRX-Serie diese Syslog-Meldungen auch über die fxp0-Schnittstelle senden. Wenn die Ereignisprotokollierung konfiguriert ist, werden alle Protokollmeldungen von der Datenebene an die Steuerungsebene gesendet.

  1. Konfigurieren Sie die Ereignisprotokollierung.

    user@host# set security log mode event

  2. Begrenzen Sie die Ratenbegrenzung der Ereignisprotokollmeldungen.

    Es kann erforderlich sein, die Ratenbegrenzung der Ereignisprotokollmeldungen von der Datenebene zur Steuerungsebene zu begrenzen, da die Ressourcen auf der Steuerungsebene begrenzt sind, um große Mengen an Protokollmeldungen zu verarbeiten. Dies gilt insbesondere, wenn die Steuerungsebene mit der Verarbeitung dynamischer Routing-Protokolle wie BGP oder umfangreicher Routing-Implementierungen beschäftigt ist. Mit dem folgenden Befehl werden die Protokollmeldungen so begrenzt, dass sie die Steuerungsebene nicht überlasten. Protokollmeldungen, die ratenbegrenzt sind, werden verworfen. Eine bewährte Methode für High-End-Geräte der SRX-Serie besteht darin, nicht mehr als 1000 Protokollmeldungen pro Sekunde auf der Steuerungsebene zu protokollieren.

    user@host# set security log mode event event-rate logs per second

Konfigurieren von Zweigstellengeräten der SRX-Serie zum Senden von Datenprotokollmeldungen über die Datenebene

Die Datenverkehrsprotokollmeldungen der SRX-Serie für Zweigstellengeräte können im Stream-Modus über die Sicherheitsprotokolle der Datenebene gesendet werden. Beachten Sie, dass dies nur im Stream-Modus möglich ist. Im Folgenden finden Sie eine Beispielkonfiguration und Protokollausgabe.

Konfiguration

Beispiel für die Ausgabe von Protokollmeldungen

Sep 06 16:54:26 10.204.225.164 1 2010-09-06T04:24:26.095 nsm-vidar-a RT_FLOW - RT_FLOW_SESSION_CREATE [junos@2636.1.1.1.2.39 source-address="1.1.1.2" source-port="49780" destination-address="2.1.1.1" destination-port="23" service-name="junos-telnet" nat-source-address="1.1.1.2" nat-source-port="49780" nat-destination-address="2.1.1.1" nat-destination-port="23" src-nat-rule-name="None" dst-nat-rule-name="None" protocol-id="6" policy-name="trust-untrust" source-zone-name="trust" destination-zone-name="untrust" session-id-32="208"]

Sep 06 16:54:34 10.204.225.164 1 2010-09-06T04:24:34.098 nsm-vidar-a RT_FLOW - RT_FLOW_SESSION_CLOSE [junos@2636.1.1.1.2.39 reason="TCP FIN" source-address="1.1.1.2" source-port="49780" destination-address="2.1.1.1" destination-port="23" service-name="junos-telnet" nat-source-address="1.1.1.2" nat-source-port="49780" nat-destination-address="2.1.1.1" nat-destination-port="23" src-nat-rule-name="None" dst-nat-rule-name="None" protocol-id="6" policy-name="trust-untrust" source-zone-name="trust" destination-zone-name="untrust" session-id-32="208" packets-from-client="37" bytes-from-client="2094" packets-from-server="30" bytes-from-server="1822" elapsed-time="6"]

In diesem Fall werden die Datenverkehrsprotokollmeldungen der SRX-Serie über die Datenebene an einen externen Syslog-Server gesendet. Dadurch wird sichergestellt, dass die Routing-Engine kein Engpass für die Protokollierung ist. Außerdem wird sichergestellt, dass die Routing-Engine bei übermäßiger Protokollierung nicht beeinträchtigt wird. Zusätzlich zu den Datenverkehrsprotokollnachrichten werden die Steuerungsebene und die an die Routing-Engine gesendeten Protokollnachrichten in eine Datei im Flash-Speicher geschrieben. Im Folgenden finden Sie eine Beispielkonfiguration zum Aktivieren dieser Art der Protokollierung.

Konfiguration

Syslog (Selbstprotokolle): Diese Konfiguration kann entsprechend der erforderlichen self Protokollierung angepasst werden.

Verkehrsprotokolle (mit Dataplane)

In diesem Fall werden sowohl die an die Routing-Engine gesendeten Datenverkehrsprotokollmeldungen als auch die Protokollmeldungen an einen Syslog-Server gesendet. Im Folgenden finden Sie eine Beispielkonfiguration zum Aktivieren dieser Art der Protokollierung.

Konfiguration

Syslog (Syslog-Server)

Verkehrsprotokolle

Konfigurieren von Protokollen der Steuerungsebene

Die Gerätesteuerungsebene der SRX-Serie ist für die Gesamtsteuerung der Plattform der SRX-Serie verantwortlich und führt eine Reihe von Softwareprozessen aus, um Aufgaben wie Routing-Protokollvorgänge, Routing-Tabellenberechnungen, Administratoren, SNMP-Authentifizierung, Authentifizierung und viele andere geschäftskritische Funktionen auszuführen. Es gibt eine Vielzahl von Protokollmeldungen, die auf der Steuerungsebene generiert werden, und die Steuerungsebene bietet granulare Unterstützung für die Definition, welche Protokollmeldungen in beide Dateien geschrieben und an Syslog-Server gesendet werden sollen. Dieses Thema bietet eine Übersicht über die Konfiguration verschiedener Syslog-Optionen auf der Steuerungsebene. In diesem Abschnitt wird nur das Senden von Protokollmeldungen über Syslog-Dienste behandelt.

  1. Konfigurieren Sie den Syslog-Server und die ausgewählten Protokollmeldungen.

    Um den Syslog-Server so zu konfigurieren, dass er Protokollmeldungen vom Gerät der SRX-Serie empfängt, definieren Sie, welche Syslog-Hosts die Streams empfangen und welche Einrichtungen und Schweregrade gesendet werden sollen. Beachten Sie, dass mehrere Einrichtungen und Prioritäten so konfiguriert werden können, dass mehrere Protokollmeldungstypen gesendet werden. Um alle Nachrichtentypen zu senden, geben Sie die Option für die Einrichtung und den any Schweregrad an.

    user@host# set system syslog host syslog server facility severity

  2. Konfigurieren Sie die Syslog-Quell-IP-Adresse.

    Die Quell-IP-Adresse des Syslog-Streams wird benötigt, da das Gerät der SRX-Serie die Syslog-Meldung mit einer beliebigen Adresse senden kann. Unabhängig davon, welche Schnittstelle ausgewählt ist, sollte dieselbe IP-Adresse verwendet werden.

    user@host# set system syslog host syslog server source-address source-address

  3. (Optional) Konfigurieren Sie den Abgleich mit regulären Ausdrücken.

    Manchmal möchte ein Administrator die Protokollmeldungen filtern, die an den Syslog-Server gesendet werden. Die Protokollfilterung kann mit der match Anweisung angegeben werden. In diesem Beispiel werden nur Protokolle, die in der match Anweisung Regular Expression (IDP) definiert sind, an den Syslog-Server gesendet.

    user@host# set system syslog host syslog server facility severity match IDP

Konfigurieren von Zweigstellengeräten der SRX-Serie für die Protokollierung

Sie können das Gerät der SRX-Serie so konfigurieren, dass nur Datenverkehrsprotokolle über die Steuerungsebene an den Syslog-Server gesendet werden.

In dieser Konfiguration:

  • Es sind keine Sicherheitsprotokolle konfiguriert.

  • Es werden keine Protokolle der Steuerungsebene empfangen.

Verwenden Sie den regulären Ausdruck der match Anweisung, um nur Datenverkehrsprotokollnachrichten zu senden. Diese Protokollmeldungen werden direkt an den Syslog-Server gesendet, ohne sie in den Flash-Speicher zu schreiben. Bei dieser Konfiguration werden keine Protokollmeldungen, die normalerweise an die Routing-Engine gesendet werden, an den Syslog-Server gesendet. Es ist jedoch möglich, eine separate Datei zu erstellen und Protokollmeldungen der Steuerungsebene wie gezeigt in eine Datei auf der Routing-Engine zu schreiben.

Konfiguration

Beispiele für Protokollmeldungen:

Die folgende Konfiguration sendet sowohl Datenverkehrs- als auch Steuerungsprotokollmeldungen an den Syslog-Server, kann jedoch den Syslog-Server überlasten und zu Clusterinstabilität führen. Es wird nicht empfohlen, diese Konfiguration zu verwenden.

Konfiguration

Der Sicherheitsprotokoll-Ereignismodus ist der Standardmodus auf Zweigstellengeräten der SRX-Serie und wird für diese Geräte nicht empfohlen. Es wird empfohlen, das Standardverhalten zu ändern.

Hinweis:

Eine umfangreiche Protokollierung des lokalen Flash-Speichers kann unerwünschte Auswirkungen auf das Gerät haben, z. B. Instabilität auf der Steuerungsebene.

Senden von Data Plane-Protokollnachrichten mit einer IP-Adresse im selben Subnetz wie die fxp0-Schnittstelle

Möglicherweise möchten Sie Anwendungen und Systeme für das Fehler- und Leistungsmanagement bereitstellen, z. B. den Security Threat Response Manager (STRM) von Juniper Networks. STRM sammelt Protokollmeldungen über das Verwaltungsnetzwerk und ist über die fxp0-Schnittstelle verbunden. Die Anwendungen für das Fehlermanagement und das Leistungsmanagement verwalten das Gerät der SRX-Serie über die fxp0-Schnittstelle, aber das Gerät der SRX-Serie muss auch die Protokollnachrichten der Datenebene an STRM im selben Netzwerk senden. Wenn z. B. die Rate der Protokollmeldungen größer als 1000 Protokollmeldungen pro Sekunde ist, wird die Protokollierung auf der Steuerungsebene nicht unterstützt. Das Problem besteht darin, dass sich zwei Schnittstellen im selben virtuellen Router nicht im selben Subnetz befinden können und die fxp0-Schnittstelle nicht auf einen anderen virtuellen Router als inet.0 verschoben werden kann.

Um diese Probleme zu umgehen, platzieren Sie eine Data Plane-Schnittstelle in einem anderen virtuellen Router als dem virtuellen Standardrouter inet.0, und platzieren Sie eine Route in der Routing-Tabelle inet.0, um Datenverkehr über diesen virtuellen Router an STRM weiterzuleiten. Das folgende Konfigurationsbeispiel zeigt, wie Sie dies tun.

In diesem Beispiel:

  • fxp0 hat die IP-Adresse 172.19.200.164/24.

  • Anwendung A (AppA) hat die IP-Adresse 172.19.200.175.

  • STRM hat die IP-Adresse 172.19.200.176.

  • Die ge-0/0/7-Schnittstelle ist eine Data-Plane-Schnittstelle mit der IP-Adresse 172.19.200.177/24 (die sich im selben Subnetz wie die fxp0-Schnittstelle befindet).

Fügen Sie zum Konfigurieren dieses Beispiels die folgenden Anweisungen ein:

Hinweis:

AppA ist jetzt in der Lage, die ge-0/0/7-Schnittstelle zu verwalten, da AppA das Gerät über die fxp0-Schnittstelle in der Standard-Routinginstanz verwaltet. Dazu muss AppA das Nachrichtenformat Logging@<snmp-community-string-name> verwenden, um über SNMP auf die ge-0/0/7-Schnittstellendaten zuzugreifen.

Zugehörige Dokumentation