Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

論理システムのトラブルシューティング

次の機能を使用して、論理システムを監視し、ソフトウェアの問題をトラブルシューティングします。詳細については、次のトピックを参照してください。

機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。

プラットフォームに関連する注意事項については、「 プラットフォーム固有のセキュリティログの動作 」セクションを参照してください。

セキュリティログと論理システムについて

セキュリティログは、セキュリティイベントを含むシステムログメッセージです。デバイスが論理システム用に設定されている場合、論理システムのコンテキスト内で生成されるセキュリティログには名前 logname_LS が使用されます( 例:IDP_ATTACK_LOG_EVENT_LS)。ログの論理システムバージョンは、論理システム用に設定されていないデバイスのログと同じ属性セットを持っています。論理システムログには、最初の属性としてlogical-system-nameが含まれています。

以下のセキュリティログは、論理システム用に設定され ていない デバイスのIDP_ATTACK_LOG_EVENTログの属性を示しています。

以下のセキュリティログは、論理システム用に設定されたデバイスのIDP_ATTACK_LOG_EVENT_LSログの属性を示しています(logical-system-nameが最初の属性であることに注意してください)。

デバイスが論理システム用に設定されている場合、ログ名に _LS サフィックスが含まれており、logical-system-name属性を使用して論理システムごとにログを分離できるため、ログ解析スクリプトの変更が必要になることがあります。

デバイスが論理システム用に設定されていない場合、セキュリティログは変更されず、ログを解析するために構築されたスクリプトを変更する必要はありません。

注:

プライマリ管理者のみが [edit security log] 階層レベルでログを設定できます。ユーザー論理システム管理者は、論理システムのロギングを設定できません。

オフボックスログでは論理システムごとの構成がサポートされており、ログはこれらの構成に基づいて処理されます。以前は、ユーザーの論理システムログはルート論理システムから生成されていました。オフボックスログでは、論理システムログは論理システムインターフェイスからのみ生成できます。

論理システムのオンボックス レポートの設定

SRXシリーズファイアウォールは、論理システムユーザー向けにさまざまなタイプのレポートをサポートしています。

レポートはSRXシリーズファイアウォールにローカルに保存され、ログとレポートを保存するために個別のデバイスやツールは必要ありません。オンボックスレポートは、セキュリティログを表示するためのシンプルで使いやすいインターフェイスを提供します。

始める前に:

  • 論理システムのセキュリティログを設定する方法を理解します。例を参照してください:論理システムのセキュリティログを設定する

論理システムのオンボックスレポートを設定するには:

  1. 論理システム名を LSYS1 として定義します。
  2. テナントシステムごとのセキュリティログ内にレポートを作成します。
  3. show logical-systems LSYS1コマンドを入力して、設定を確認します。
注:

デフォルトでは、 report オプションは無効になっています。 set logical-systems LSYS1 security log mode stream コマンドはデフォルトで有効になっています。

例:論理システムのセキュリティログを設定する

この例では、論理システムのセキュリティログを設定する方法を示しています。

要件

この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。

  • SRXシリーズファイアウォール。

  • Junos OSリリース18.3R1以降のリリース。

始める前に:

概要

SRXシリーズファイアウォールには、システムログとセキュリティログの2種類のログがあります。システムログは、デバイスへの管理者ログインなどのコントロールプレーンイベントを記録します。セキュリティログは、トラフィックログとも呼ばれ、特定のトラフィック処理に関するデータプレーンイベントを記録します。たとえば、ポリシーの違反によりセキュリティポリシーが特定のトラフィックを拒否した場合などです。

この2種類のログは、オンボックスまたはオフボックスのどちらでも収集して保存できます。以下の手順では、オフボックス(ストリームモード)ログ用にセキュリティログをバイナリ形式で設定する方法について説明します。

オフボックスロギングでは、論理システムのセキュリティログが論理システムインターフェイスから送信されます。論理システムインターフェイスがすでにルーティングインスタンスで設定されている場合は、edit logical-systems logical-system-name security log stream log-stream-name host階層でrouting-instance routing-instance-nameを設定します。インターフェイスがルーティングインスタンスで設定されていない場合、ルーティングインスタンスはedit logical-systems logical-system-name security log stream log-stream-name host階層で設定しないでください。

設定

CLIクイックコンフィグレーション

この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。

手順

ステップバイステップの手順

次の手順では、論理システムのセキュリティログを設定する方法を指定します。

  1. ログ ファイルのログ モードと形式を指定します。オフボックス、ストリームモードロギング用。

  2. オフボックスセキュリティログの場合は、ログメッセージを生成したSRXシリーズファイアウォールを識別する送信元アドレスを指定します。送信元アドレスは必須です。

  3. ルーティングインスタンスを指定し、インターフェイスを定義します。

  4. 論理システムのルーティングインスタンスを定義します。

  5. デバイスのセキュリティログトランスポートプロトコルを指定します。

手順

ステップバイステップの手順

次の手順では、論理システムのセキュリティプロファイルを設定する方法を指定します。

  1. セキュリティプロファイルを設定し、最大ポリシーと予約ポリシーの数を指定します。

  2. 構成済みのセキュリティー・プロファイルを TSYS1 に割り当てます。

結果

設定モードから、 show system security-profile、 show logical-systems LSYS1 security log、 show logical-systems LSYS1 routing-instances コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

デバイスの設定が完了したら、設定モードから commit を入力します。

検証

セキュリティログの詳細な出力の検証

目的

出力にすべての論理システムのリソース情報が表示されていることを確認します。

アクション

動作モードから、 show system security-profile security-log-stream-number tenant all コマンドを入力します。

意味

出力には、論理システムのリソース情報が表示されます。

論理システム用オンボックス バイナリ セキュリティ ログ ファイルの設定

SRXシリーズデバイスは、システムログとセキュリティログの2種類のログをサポートしています。

この2種類のログは、オンボックスまたはオフボックスで収集および保存されます。次の手順では、論理システムのオンボックス(イベントモード)ログにセキュリティログをバイナリ形式で設定する方法について説明します。

以下の手順では、イベントモードセキュリティロギングのバイナリフォーマットを指定し、論理システムのログファイル名、パス、ログファイルの特性を定義します。

  1. ログ ファイルのログ モードと形式を指定します。オンボックス、イベントモードロギングの場合:

  2. (オプション)ログファイル名を指定します。

    注:

    セキュリティログファイル名は必須ではありません。セキュリティログファイル名が設定されていない場合、デフォルトではファイルbin_messagesが/var/logディレクトリに作成されます。

  3. show logical-systems LSYS1コマンドを入力して、設定を確認します。

以下の手順では、ストリームモードセキュリティロギングのバイナリ形式を指定し、論理システムのログファイル名とログファイルの特性を定義します。

  1. ログ ファイルのログ モードと形式を指定します。オンボックス、ストリームモードロギングの場合:

  2. (オプション)ログファイル名を指定します。

  3. show logical-systems LSYS1コマンドを入力して、設定を確認します。

論理システム用オフボックス バイナリ セキュリティ ログ ファイルの設定

SRXシリーズデバイスは、システムログとセキュリティログの2種類のログをサポートしています。

この2種類のログは、オンボックスまたはオフボックスのどちらでも収集して保存できます。以下の手順では、オフボックス(ストリームモード)ログ用にセキュリティログをバイナリ形式で設定する方法について説明します。

以下の手順では、ストリームモードセキュリティロギングのバイナリフォーマットを指定し、論理システムのロギングモード、送信元アドレス、ホスト名の特性を定義します。

  1. ログ ファイルのログ モードと形式を指定します。オフボックス、ストリームモードロギングの場合:

  2. オフボックスセキュリティロギングの送信元アドレスを指定します。

  3. ホスト名を指定します。

  4. show logical-systems LSYS1コマンドを入力して、設定を確認します。

論理システムのデータパスデバッグについて

データパスのデバッグは、パケット処理パスに沿った複数の処理ユニットでトレースとデバッグを提供します。データパスのデバッグは、論理システム間のトラフィックに対しても実行できます。

注:

論理システムのデータパスデバッグを[edit security datapath-debug]レベルで設定できるのは、プライマリ管理者だけです。ユーザー論理システム管理者は、論理システムのデータパスデバッグを設定できません。

エンドツーエンドのイベントトレースは、パケットがデバイスに入るからデバイスを離れるまでのパスを追跡します。プライマリ管理者がエンドツーエンドのイベントトレースを設定すると、トレース出力には論理システム情報が含まれます。

プライマリ管理者は、論理システム間のトラフィックのトレースを設定することもできます。トレース出力は、論理システム間の論理トンネルに出入りするトラフィックを示しています。 preserve-trace-order オプションが設定されている場合、トレース メッセージは時系列にソートされます。トレースアクションに加えて、論理システム間のトラフィックに対してパケットダンプやパケットサマリーなどの他のアクションを設定することができます。

関連項目

論理システムのトレースの実行(プライマリ管理者のみ)

注:

論理システムのデータパスデバッグをルートレベルで設定できるのは、プライマリ管理者だけです。

トレースまたはパケットキャプチャのアクションプロファイルを設定するには:

  1. イベントタイプとトレースアクションを指定します。イベントタイプとトレースアクションの任意の組み合わせを指定できます。例えば、以下のステートメントは、イベントタイプごとに複数のトレースアクションを設定します。
  2. アクションプロファイルオプションを指定します。
  3. パケットフィルターオプションを設定します。

論理システムのトレースメッセージをキャプチャするには:

  1. トレース キャプチャー・ファイルを設定します。

  2. キャプチャされたトレースを動作モードで表示します。

  3. ログを消去します。

論理システムのパケットキャプチャを実行するには:

  1. パケットキャプチャファイルを構成します。

  2. 動作モードに入り、パケットキャプチャを開始および停止します。

    注:

    パケットキャプチャファイルを開いて、tcpdump、またはlibpcap形式を認識する任意のパケットアナライザを使用してオフラインで分析できます。また、FTPまたはSCP(Session Control Protocol)を使用して、パケットキャプチャファイルを外部デバイスに転送することもできます。

  3. 設定モードからパケットキャプチャを無効にします。

    注:

    分析用にファイルを開いたり、FTPまたはSCPで外部デバイスにファイルを転送したりする前に、パケットキャプチャを無効にします。パケットキャプチャを無効にすると、内部ファイルバッファがフラッシュされ、キャプチャされたすべてのパケットがファイルに書き込まれます。

  4. パケットキャプチャを表示します。

    • tcpdumpユーティリティでパケットキャプチャを表示するには:

    • CLI動作モードからのパケットキャプチャを表示するには:

関連項目

論理システムセキュリティポリシーでのDNS名解決のトラブルシューティング(プライマリ管理者のみ)

問題点

説明

セキュリティポリシーで使用されているアドレス帳エントリー内のホスト名のアドレスが正しく解決されない場合があります。

原因

通常、動的なホスト名を含むアドレス帳エントリーは、SRXシリーズファイアウォールで自動的に更新されます。DNSエントリに関連付けられたTTLフィールドは、ポリシーキャッシュ内のエントリを更新するまでの時間を示します。TTL値が期限切れになると、SRXシリーズファイアウォールはアドレス帳エントリのDNSエントリを自動的に更新します。

ただし、SRXシリーズファイアウォールがDNSサーバーから応答を取得できない場合(たとえば、DNSリクエストまたはレスポンスパケットがネットワークで失われたり、DNSサーバーが応答を送信できない場合)、アドレス帳エントリー内のホスト名のアドレスが正しく解決されない可能性があります。これにより、一致するセキュリティポリシーやセッションが見つからないため、トラフィックがドロップする可能性があります。

ソリューション

プライマリ管理者は、 show security dns-cache コマンドを使用して、SRXシリーズファイアウォール上のDNSキャッシュ情報を表示できます。DNSキャッシュ情報を更新する必要がある場合、プライマリ管理者は clear security dns-cache コマンドを使用できます。

注:

これらのコマンドは、論理システム用に設定されたデバイス上のプライマリ管理者のみが使用できます。このコマンドは、ユーザー論理システムや論理システム用に設定されていないデバイスでは使用できません。

関連項目

プラットフォーム固有のセキュリティログの動作

機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。

プラットフォーム固有の動作を確認するには、以下の表を使用して下さい。

表1:プラットフォーム固有の動作

プラットフォーム

違い

SRXシリーズ

  • セキュリティログをサポートするSRXシリーズファイアウォールは、ストリームモードでのオフボックスログをサポートします。

  • セキュリティログをサポートするSRX300、SRX320、SRX340、SRX345、SRX380、SRX1500、SRX4100、SRX4200、SRX4600ファイアウォールは、ストリームモードでのオンボックスログとレポートをサポートします。

  • セキュリティログをサポートするSRXシリーズファイアウォールには、以下の制限があります。

    • 各SPUのSRX5400、SRX5600、SRX5800ファイアウォールは、スタンドアロンで最大1000の接続、クラスターで最大500の接続のみをサポートできます。すべての接続を使い切ると、ユーザー論理システムの一部の接続が確立されない可能性があります。

      エラーメッセージは 、システムログエクスプローラにキャプチャされます。

関連ドキュメント