Sur cette page
Configurer Syslog sur TLS
Découvrez comment configurer votre équipement pour transporter les messages de journal système (également appelés messages syslog) en toute sécurité via le protocole TLS (couche transport Security).
Journaux du plan de contrôle
syslog statement at the [system]
hierarchy level.Exemple : Configurer Syslog sur TLS
Cet exemple montre comment configurer un équipement Juniper Networks pour transporter les messages syslog (journaux du plan de contrôle) en toute sécurité via TLS.
Conditions préalables
Cet exemple utilise les composants matériels et logiciels suivants :
-
Junos OS version 21.2R1 ou ultérieure
-
Junos OS Evolved version 23.4R1 ou ultérieure
-
Périphérique exécutant Junos OS ou Junos OS Evolved (client syslog)
-
Serveur Syslog
Présentation
Vous utilisez le protocole TLS pour permettre le transport sécurisé des messages de journal système (journaux de plan de contrôle) du client syslog au serveur syslog. TLS utilise des certificats pour authentifier et chiffrer la communication.
- Authentification du serveur (ou TLS unidirectionnel) : le client vérifie l’identité du serveur et approuve le serveur.
- Authentification mutuelle : le serveur et le client se font mutuellement confiance.
Vous pouvez choisir l’authentification du serveur ou l’authentification mutuelle en fonction de votre réseau. Pour accéder rapidement à l’information dont vous avez besoin, cliquez sur les liens du tableau 1.
|
Mode d’authentification |
Procédure |
Section où se trouvent les informations |
|---|---|---|
|
Authentification du serveur |
Configurer l’infrastructure à clé publique Configurer l’appareil |
Configuration
Dans l’exemple suivant, nous utilisons le protocole TLS pour transporter en toute sécurité les messages syslog (journaux du plan de contrôle) de l’équipement Juniper vers le serveur syslog distant. La figure 1 illustre la topologie de base utilisée dans cet exemple.
- Présentation de la configuration de l’infrastructure à clé publique (PKI)
- Configurer l’authentification du serveur sur votre appareil
- Résultats
- Vérification
Présentation de la configuration de l’infrastructure à clé publique (PKI)
Pour configurer l’infrastructure à clé publique sur l’appareil :
- Créez un profil d’autorité de certification (CA) et associez un identifiant d’autorité de certification au profil d’autorité de certification. Voir l’exemple : Configuration d’un profil d’autorité de certification.
- (Facultatif) Créez un contrôle de révocation pour spécifier une méthode de validation du certificat. Vous pouvez utiliser les listes de révocation de certificats (CRL) ou l’OCSP (Online Certificate Status Protocol). Reportez-vous à la section Révocation de certificat.
- (Facultatif) Créez un groupe d’autorités de certification approuvées et ajoutez le profil d’autorité de certification au groupe approuvé. Reportez-vous à la section Configuration d’un groupe d’autorités de certification approuvées.
- Chargez le certificat de l’autorité de certification sur l’appareil. Vous pouvez charger le certificat manuellement. Voir l’exemple : Chargement manuel de l’autorité de certification et des certificats locaux. En fonction de votre environnement de déploiement, vous pouvez utiliser le protocole CMPv2 (Certificate Management Protocol version 2) ou le protocole SCEP (Simple Certificate Enrollment Protocol) pour l’inscription de certificats en ligne. Reportez-vous aux sections Inscription d’un certificat d’autorité de certification en ligne à l’aide de SCEP et Comprendre l’inscription de certificats avec CMPv2.
- (Facultatif pour l’authentification mutuelle) Chargez le certificat local sur l’appareil. Vous pouvez charger le certificat local manuellement. En fonction de votre environnement de déploiement, vous pouvez utiliser CMPv2 ou SCEP pour l’inscription de certificats en ligne. Reportez-vous aux sections Inscription d’un certificat local en ligne à l’aide de SCEP et Présentation de l’inscription de certificat avec CMPv2.
- Vérifiez que les certificats sont correctement chargés. Utilisez la commande request security pki ca-certificate verify pour vérifier si le certificat de l’autorité de certification a été chargé correctement. Utilisez la commande request security pki local-certificate verify pour vérifier que le certificat local a été chargé correctement.
Configurer l’authentification du serveur sur votre appareil
Procédure étape par étape
La procédure suivante vous demande de naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans l’interface de ligne de commande, consultez Utilisation de l’éditeur CLI en mode Configuration.
Pour configurer l’appareil :
-
Spécifiez le serveur syslog qui reçoit les messages du journal système. Vous pouvez spécifier l’adresse IP du serveur syslog ou un nom d’hôte complet. Dans cet exemple, utilisez 10.102.70.233 comme adresse IP du serveur syslog.
[edit] user@host# set system syslog host 10.102.70.223 any any
-
Spécifiez le numéro de port du serveur syslog.
[edit] user@host# set system syslog host 10.102.70.223 port 10514
-
Spécifiez le protocole de transport syslog de l’unité. Dans cet exemple, utilisez TLS comme protocole de transport.
[edit] user@host# set system syslog host 10.102.70.223 transport tls
-
Spécifiez le nom du groupe d’autorités de certification de confiance ou le nom du profil d’autorité de certification à utiliser. Dans cet exemple, utilisez example-ca comme profil d’autorité de certification.
[edit] user@host# set system syslog host 10.102.70.223 tlsdetails trusted-ca-group trusted-ca-group-name ca-profiles example-ca
-
Configurez l’appareil pour qu’il envoie tous les messages de journal.
[edit] user@host# set system syslog file messages any any
-
Validez la configuration.
[edit] user@host# commit
Résultats
En mode configuration, confirmez votre configuration à l’aide de la show system syslog commande.
[edit]
user@host# show system syslog
host 10.102.70.223 {
any any;
port 10514;
transport tls;
tlsdetails {
trusted-ca-group trusted-ca-group-name {
ca-profiles example-ca;
}
}
}
Vérification
Pour vérifier que la configuration fonctionne correctement, entrez la show log commande sur le serveur syslog.
Voir également
Journaux du plan de données
Exemple : Configurer le protocole TLS Syslog sur les pare-feu SRX Series
Cet exemple montre comment configurer le protocole syslog TLS (couche transport security) sur les pare-feu SRX Series pour recevoir des événements syslog chiffrés des périphériques réseau prenant en charge le transfert d’événements syslog TLS.
Conditions préalables
Avant de commencer, activez les fonctionnalités de vérification et de chiffrement ou de déchiffrement des certificats du serveur.
Présentation
Le protocole syslog TLS permet à une source de journal de recevoir des événements syslog chiffrés à partir d’équipements réseau prenant en charge le transfert d’événements syslog TLS. La source du journal crée un port d’écoute pour les événements syslog TLS entrants et génère un fichier de certificat pour les périphériques réseau.
Dans cet exemple, vous configurez un collecteur syslog associé à un profil SSL-I. Chaque profil SSL-I permet à l’utilisateur de spécifier des éléments tels que la suite de chiffrement préférée et les certificats d’autorité de certification de confiance. Vous pouvez configurer plusieurs profils SSL-I et associer les profils à différents serveurs collecteurs.
Configuration
Procédure
Configuration rapide de l’interface de ligne de commande
Pour configurer rapidement cette section de l’exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à la configuration de votre réseau, copiez et collez les commandes dans l’interface de ligne de commande au niveau de la [edit] hiérarchie, puis passez commit en mode de configuration.
set security log mode stream set security log format sd-syslog set security log source-interface ge-0/0/1.0 set security log transport protocol tls set security log transport tls-profile ssl-i-tls set security log stream server1 format sd-syslog set security log stream server1 category all set security log stream server1 host 192.0.2.100 set services ssl initiation profile ssl-i-tls protocol-version all set services ssl initiation profile ssl-i-tls trusted-ca all set services ssl initiation profile ssl-i-tls actions ignore-server-auth-failure
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur la façon de procéder, consultez Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur CLI.
Pour configurer le protocole syslog TLS :
-
Définissez le mode de journalisation sur streaming.
[edit security] user@host# set log mode stream
-
Spécifiez le format du journal du système structuré (sd-syslog) pour la journalisation des messages de sécurité à distance.
[edit security] user@host# set log format sd-syslog
-
Définissez le numéro de l’interface source de l’hôte.
[edit security] user@host# set log source-interface ge-0/0/1.0
-
Spécifiez TLS comme protocole de transport du journal de sécurité à utiliser pour consigner les données.
[edit security] user@host# set log transport protocol tls
-
Spécifiez le nom du profil TLS.
[edit security] user@host# set log transport tls-profile ssl-i-tls
-
Définissez le flux de journaux pour qu’il utilise le format syslog structuré pour l’envoi des journaux au serveur 1.
[edit security] user@host# set log stream server1 format sd-syslog
-
Définissez la catégorie de journalisation du serveur 1 sur tous.
[edit security] user@host# set log stream server1 category all
-
Spécifiez les paramètres de l’hôte du serveur en saisissant le nom du serveur ou l’adresse IP.
[edit security] user@host# set log stream server1 host 192.0.2.100
-
Définissez la version du protocole pour le profil d’accès d’initiation SSL.
[edit services] user@host# set ssl initiation profile ssl-i-tls protocol-version all
-
Attachez tous les groupes de profils d’autorité de certification au profil d’initiation SSL à utiliser lors de la demande d’un certificat à l’homologue.
[edit services] user@host# set ssl initiation profile ssl-i-tls trusted-ca all
-
Configurez le profil d’accès d’initiation SSL pour ignorer l’échec de l’authentification du serveur.
[edit services] user@host# set ssl initiation profile ssl-i-tls actions ignore-server-auth-failure
Résultats
En mode configuration, vérifiez votre configuration à l’aide de la show security log commande. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de configuration de cet exemple pour la corriger.
[edit]
user@host# show security log
mode stream;
format sd-syslog;
source-interface ge-0/0/1.0;
transport {
protocol tls;
tls-profile ssl-i-tls;
}
stream server1 {
format sd-syslog;
category all;
host {
192.0.2.100;
}
}
}
[edit]
user@host# run show configuration services ssl initiation
profile ssl-i-tls {
protocol-version all;
trusted-ca all;
actions {
ignore-server-auth-failure;
}
}
Si vous avez terminé de configurer l’appareil, passez commit en mode de configuration.
Vérification
Pour vérifier que la configuration fonctionne correctement, entrez la show log commande sur le serveur syslog.