Paragon Insightsプッシュモデルのインジェスト方法

sFlowインジェストの設定

他の取り込み方法と同様に、[設定] > [取り込み] に移動し、[取り込み] ウィンドウの左側にある [sFlow] タブを選択します。

Sflow 設定は、次の 4 つのセクションに分かれています。

• Sample

  2 つの定義済みサンプル カテゴリがあり、それぞれが sFlow ヘッダーで整数のサンプル タイプの値として表されます。以下の 表2 に、サンプルの種類とその数値を示します。 表 2: sFlow サンプルの種類 サンプルタイプ sFlow ヘッダーの整数値 カウンターサンプル 2 拡張カウンターサンプル 4 フローサンプル 1 エキスパンドフローサンプル 3 メモ： 拡張されたセンサータイプと拡張されていないサンプルタイプの違いは、データフィールドのサイズです。フィールド名とタイプは同じですが、展開されたサンプルタイプではフィールドサイズが大きくなります。 これらのサンプルタイプのパケット定義については、 sFlow サンプルを参照してください。 表 3 に、sFlow サンプル ヘッダーに含まれるその他のフィールド (サンプルの種類別) とフィールドの種類を示します。 表 3: sFlow パケット ヘッダーのフィールド フィールドタイプ/ビットサイズ カウンターサンプル フローサンプル 整数/32 サンプルシーケンス番号 サンプルシーケンス番号 整数/8 sourceIDType 0 = SNMP インターフェイス インデックス 1 = VLAN ID (smonVlanDataSource) 2 = 物理エンティティ (entPhysicalEntry) sourceIDType 0 = SNMP インターフェイス インデックス 1 = VLAN ID (smonVlanDataSource) 2 = 物理エンティティ (entPhysicalEntry) 整数/24 sourceIDValue sourceIDValue 整数/32 n (カウンタ サンプルに含まれるサンプリングされたレコードの数) サンプルサンプリングレート 整数/32 - samplePool (サンプリングされた可能性のあるパケットの数) 整数/32 - sampleDroppedPackets(リソース不足のためにドロップされたパケット数) 整数/8 - sampleInputInterfaceFormat (input interface type) 整数/32 - sampleInputInterfaceValue (input interface (SNMP interface index) 整数/1 sampleOutputInterfaceFormat (output interface type) 整数/33 - sampleOutputInterfaceValue (SNMP インターフェイス インデックス) 整数/32 - n(フロー レコードの数) データ カウンターレコード フロー レコード

• Flow Record

  [フロー レコード] セクションには、sFlow キャプチャに表示される可能性のあるさまざまなタイプのフローを定義するために必要なツールが用意されています。Paragon Insightsには、以下の表4に示すように、16種類の事前定義されたフローレコードが付属しており、それぞれにフォーマット番号とsFlowルールの定義に使用するセンサーパスがあります。フロー レコードの種類ごとに複数のフィールドがあります。これらは、リストから目的のレコードタイプを選択し、編集(鉛筆)ボタンをクリックすることで確認できます。 表 4: フロー レコード タイプ レコードの種類 フォーマット番号 センサー パス値 生のパケットヘッダー 1 /sflow-v5/flow-sample/raw-packet-header イーサネット・フレーム・データ 2 /sflow-v5/flow-sample/ethernet-frame-data IPv4データ 3 /sflow-v5/flow-sample/ipv4-data IPv6 データ 4 /sflow-v5/flow-sample/ipv6-data 拡張スイッチ データ 1001 /sflow-v5/flow-sample/extended-switch-data 拡張ルーターデータ 1002 /sflow-v5/flow-sample/extended-router-data 拡張ゲートウェイデータ 1003 /sflow-v5/flow-sample/extended-gateway-data 拡張ユーザーデータ 1004 /sflow-v5/flow-sample/extended-user-data 拡張 URL データ 1005 /sflow-v5/flow-sample/extended-url-data 拡張 MPLS データ 1006 /sflow-v5/flow-sample/extended-mpls-data 拡張NATデータ 1007 sflow-v5/flow-sample/extended-nat-data 拡張MPLSトンネル 1008 /sflow-v5/flow-sample/extended-mpls-tunnel 拡張MPLS VC 1009 /sflow-v5/flow-sample/extended-mpls-vc 拡張MPLS FEC 1010 /sflow-v5/flow-sample/extended-mpls-fec 拡張 LVP FEC 1011 /sflow-v5/flow-sample/extended-mpls-lvp-fec 拡張VLANトンネル 1012 /sflow-v5/flow-sample/extended-vlan-tunnel sFlow のルールを設定するときは、これらのレコードタイプのいずれかを選択できます。新しいフロー レコードを作成するには、[Sflow 設定] ページの追加 (+) アイコンをクリックします。

• Counter Record

  [カウンター レコード] セクションでは、2 つの定義済みのカウンター レコードの種類の定義を提供します。カウンタ レコードには、イーサネット インターフェイス カウンタと汎用インターフェイス カウンタの 2 種類があります。汎用インターフェイス カウンターは形式番号 1、イーサネット インターフェイス カウンターは形式番号 2 です。汎用インターフェイス カウンターのセンサー パスは、/sflow-v5/counter-sample/generic-interface-counter です。イーサネット インターフェイス カウンターのセンサー パスは、/sflow-v5/counter-sample/ethernet-interface-counter です。 カウンタレコード内で使用可能なフィールドは、考えられるエラーと、次のようなカウント可能な統計です。 フレームエラー 衝突 遅延送信 送信エラー 管理ステータス 運用状況 入力パケット 出力パケット 入力エラー 出力エラー その他

  定義するルールでは、汎用インターフェイスカウンターまたはイーサネットインターフェイスカウンターのいずれかを使用できます。カウンターセンサーは、使用可能なカウンターのいずれかから単一のフィールドを選択するように定義できます。追加のカウンターレコードタイプを作成するには、[Sflow 設定] ページ ([カウンターレコード] セクション) の追加 (+) アイコンをクリックします。

• Protocol

  [プロトコル] セクションでは、sFlow キャプチャに含まれるプロトコルを定義し、多くのネットワーク プロトコルのデコードを可能にする手段を提供します。各プロトコルエントリに含まれるフィールドは、そのタイプのフレームまたはパケットに表示されるものと同じフィールドです。たとえば、イーサネットフレームには、宛先MACアドレス、送信元MACアドレス、およびイーサネットネクストヘッダータイプのフィールドがあります。デコードするプロトコルで定義されたフィールドは、パケットまたはフレームに表示されるのと同じ順序でプロトコル定義に表示される必要があります。 表示される番号列は、そのプロトコルに割り当てられた IANA プロトコル番号です。たとえば、TCP プロトコルはプロトコル番号 6 です。

sFlowデコード機能を拡張

sFlowインジェスト設定ページの[サンプル]、[フローレコード]、[カウンターレコード]、および[プロトコル]タブで追加のデコードスキーマを作成することで、Paragon Insightsのプロトコルデコード機能を拡張できます。

取り込み設定を更新すると、新しいルールは次のようにそれらを利用できます。

• Wireshark などのパケット キャプチャ ユーティリティを使用して、sFlow パケット内で新しいプロトコルが表示される順序を特定します。

• センサー定義で使用するセンサー パスが、 ここで、 は新しいサンプルrecord-name、 は新しいカウンターまたはフロー レコード、 l2-protocol と l3-protocol は新しいプロトコルの形式/sflow-v5/<sample-name>/<record-name>/<l2-protocol>/<l3-protocol>sample-nameになっていることを確認します。ここでも、これらのプロトコルには、sFlow キャプチャに表示されるとおりに名前を付けて配置する必要があります。

sFlow ルールの設定

他のルール定義と同様に、sFlow ルールはセンサー、フィールド、ベクトルなどで構成されます。sFlow センサーには、図 3 に示すように、センサー名、センサーの種類 sFlow、および sFlow パスがあります。

図3: sFlowセンサーの定義

センサーパスは、センサーの定義において大きな役割を果たします。Paragon Insightsは、センサーパスを使用して、sFlowフロータイプだけでなく、サンプルタイプ、レコードタイプ、プロトコル、およびその他のカスタムパス要素(必要な場合)を定義します。

sFlow設定の削除

sFlow 設定を削除するには:

1. 左側のナビゲーション バーで [ 設定 ] > [ 取り込み ] をクリックします。

   [取り込み設定] ページが表示されます。

2. [sFlow] タブをクリックして、[sFlow 設定] ページを表示します。

3. 次のいずれかの操作を行います。

   • sFlow サンプルを削除するには:

     1. [ サンプル ] をクリックして、sFlow サンプルのリストを表示します。

     2. 削除する sFlow サンプルを選択します。

     3. 削除(ゴミ箱)アイコンをクリックします。

        [サンプルの削除を確認] ポップアップが表示されます。

        図4:サンプル削除ポップアップ の確認

   • フロー レコードを削除するには:

     1. [ フロー レコード ] をクリックして、フロー レコードのリストを表示します。

     2. 削除するフロー レコードを選択します。

     3. 削除(ゴミ箱)アイコンをクリックします。

        [フローレコードの削除を確認]ポップアップが表示されます。

        図 5: フローレコードの削除ポップアップ の確認

   • カウンターレコードを削除するには:

     1. [ カウンター レコード ] をクリックして、カウンター レコードの一覧を表示します。

     2. 削除するカウンター レコードを選択します。

     3. 削除(ゴミ箱)アイコンをクリックします。

        [カウンターレコードの削除の確認]ポップアップが表示されます。

        図 6: 削除の確認ポップアップ

   • プロトコルを削除するには:

     1. [ プロトコル ] をクリックして、プロトコルの一覧を表示します。

     2. 削除するプロトコルを選択します。

     3. 削除(ゴミ箱)アイコンをクリックします。

        [削除プロトコルの確認] ポップアップが表示されます。

        図7:削除プロトコルポップアップ の確認

4. 表示されるポップアップで、以下のいずれかの操作を行います:

   • [ はい ] をクリックして、データベースから sFlow 設定を削除します。ただし、変更は取り込みサービスには適用されません。

     メモ：

     • 現在使用中の sFlow 設定は削除しないことをお勧めします。

     • データベースから sFlow 設定を削除すると、変更を展開していなくても、新しいデバイスまたはデバイス グループでその sFlow 設定を構成することはできません。

     • また、[ 保留中の構成 ] ページから、取り込みサービスへの変更をデプロイしたり、既に削除した変更をロールバックしたりすることもできます。詳細については、 Paragon Insightsの設定変更のコミットまたはロールバックを参照してください。

   • 「変更をデプロイ」チェック・ボックスを選択し、「はい」をクリックしてデータベースからsFlow設定を削除し、インジェスト・サービスに変更を適用します。

   • (オプション)この操作をキャンセルするには、[ いいえ ] をクリックします。

Syslogポートを設定する

デフォルトでは、Paragon InsightsはUDPポート514ですべてのデバイスグループからのsyslogメッセージをリッスンします。システムレベルのsyslogポートを変更したり、デバイスグループごとに1つ以上のポートを設定することができます。より具体的なデバイス グループ設定は、システム レベルの設定よりも優先されます。

システムレベルの syslog ポートを変更するには、次の手順に従います。

1. 左側のナビゲーション バーで [ 設定] > [取り込み ] をクリックします。

2. [取り込み設定] ページの [Syslog ] タブを選択します。

3. [Syslog] ページで、ポート番号を編集します。

4. 「 保存 & デプロイ」をクリックします。

デバイス グループの syslog ポートを設定するには、次の手順に従います。

1. [デバイス グループの構成>] ページに移動し、デバイス グループの名前をクリックします。

2. 編集(鉛筆)アイコンをクリックします。

3. ポップアップウィンドウで、 Syslog ポートフィールドにポートを入力します。

4. 「 保存 & デプロイ」をクリックします。

デバイスのタイムゾーンを設定する

デバイスが構造化された syslog メッセージをエクスポートすると、タイム ゾーン情報がメッセージ内に含まれます。ただし、構造化されていない syslog メッセージには、タイム ゾーン情報は含まれません。デフォルトでは、Paragon InsightsはデバイスのタイムゾーンとしてGMTを使用します。このような場合、Paragon Insights内でデバイスまたはデバイスグループにタイムゾーンを割り当てることができます。

デバイスグループレベルでデバイスのタイムゾーンを設定するには:

1. [構成>デバイス グループ] ページに移動し 、デバイス グループ の名前をクリックします。

2. 編集(鉛筆)アイコンをクリックします。

3. ポップアップウィンドウで、[ タイムゾーン ]フィールドに値を入力します( 例:-05:00)。

デバイスレベルでデバイスのタイムゾーンを設定するには:

1. [デバイスの構成] ページに移動し>デバイスの名前をクリックします。

2. 編集(鉛筆)アイコンをクリックします。

3. ポップアップウィンドウで、[ タイムゾーン ]フィールドに値を入力します(例 -05:00:)。

デバイスに複数の送信元 IP アドレスを設定する

Paragon Insights GUIで最初に設定された送信元IPアドレスとは異なる送信元IPアドレスを使用してデバイスからsyslogメッセージが届いた場合は、送信元IPアドレスを追加することができます。

追加の送信元 IP アドレスをサポートするには:

1. [デバイスの構成>] ページに移動し、デバイスの名前をクリックします。

2. 編集(鉛筆)アイコンをクリックします。

3. ポップアップウィンドウで、[ Syslogソース IP]フィールドにIPアドレスを入力します。

デバイスのホスト名エイリアスの設定

デュアルREを持つデバイスなど、デバイスに複数のホスト名がある場合、syslogメッセージがデバイスのメインホスト名ではないホスト名でParagon Insightsサーバーに届くことがあります。このような場合は、そのデバイスのホスト名エイリアスを追加できます。

追加のホスト名エイリアスを設定するには:

1. [デバイスの構成>] ページに移動し、デバイスの名前をクリックします。

2. 編集(鉛筆)アイコンをクリックします。

3. ポップアップウィンドウで、[ Syslog ホスト名]フィールドにホスト名を入力します。

Syslog - デバイス構成

Syslogでは、少なくとも次の構成要素がデバイスにコミットされている必要があります。

• Junos OSバージョン:任意のリリース

• 必要な構成:

  ## 10.1x.x0.1 = Paragon Insightsサーバー

ネットワーク デバイスへの syslog 設定の追加

まだ行っていない場合は、Paragon Insightsにsyslogデータを送信するようにネットワークデバイスを設定します。前のセクションのデバイス設定例をここで繰り返します。

## 10.1x.x0.1 = Paragon Insightsサーバー

イベントパターンの設定

イベントパターンは、何らかのsyslogイベントを監視するための設定です。監視するイベントごとにパターンを作成します。この例では、パターンを使用して、4 つの syslog イベント(2 つは構造化イベント、2 つは非構造化イベント)を監視します。

1. Paragon Insights GUIで、左側のナビゲーションバーにある 設定>取り込み をクリックします。

2. [取り込み設定] ページの [Syslog ] タブを選択します。

3. [Syslog] ページで、プラス (+) アイコンをクリックします。

4. 表示されるポップアップウィンドウで、 snmp-if-link-downという名前の最初のパターンに次のパラメーターを入力します。

   

5. 「 保存してデプロイ」をクリックします。

6. プラス(+)アイコンをもう一度クリックし、 fpc-offline という名前の 2 番目のパターンに次のパラメーターを入力します。

   
   メモ：

   [フィルター] フィールドに入力された完全な値は fpc%{ NUMBER:fpc} です。ポート %{WORD:port-status} をマーキングしています。

7. 「 保存してデプロイ」をクリックします。[Syslog] ページに、先ほど作成した 2 つのパターンが表示されます。

パターンの使用上の注意

構造化された syslog の場合:

• イベントID(SNMP_TRAP_LINK_DOWN)は、syslogメッセージ内で見つかったイベント名を参照します。

• フィールドは、構造化 syslog メッセージではオプションです。フィールドを構成しない場合、メッセージの属性名はフィールド名として扱われます。

  • ただし、この例ではユーザー定義フィールドがあります。

    • フィールド名 (if-name、 snmp-index)はユーザーが定義します。

    • フィールド interface-name 値は、syslog メッセージの属性です。例えば、ge-0/3/1.0このフィールドの名前は if-name に変更されます

    • フィールド snmp-interface-index 値は、syslog メッセージの属性です。例えば、ifIndex 539このフィールドは snmp-index に名前が変更されます

    • ここでの フィールドsnmp-interface-index は整数として定義されています。デフォルトでは、syslog メッセージから抽出されるフィールドは文字列型ですが、整数型はこれを変更して値を整数として扱います

• 定数セクションはオプションであり、この例ではユーザー定義の定数があります。

  • 定数名 ifOperStatus はユーザー定義です。この場合、整数値は '2' です。

• 構造化された syslog ではフィルタ設定はオプションですが、必要に応じて設定できます。使用する場合、フィルターで生成されたフィールドは、syslog メッセージに含まれるフィールドを上書きします。

• キー フィールド セクションは省略可能です。デフォルトでは、ホスト名とイベントIDはParagon Insightsが使用するキーになります。ここにキーフィールドを追加します。この例では、 キーフィールド、つまり インターフェイス名があり、名前と値がsyslogメッセージの属性-値のペアから抽出されます

非構造化 syslog の場合:

• イベント ID はユーザー定義で、この場合 はPSEUDO_FPC_DOWN

  • たとえば、構造化されていない syslog も、構造化された syslog も、それに対応する<166>1 2019-11-22T02:38:23.132-08:00 R1 - - - - fpc1 Marking ports down構造化された syslog Nov 22 02:27:05 R1 fpc1 Marking ports down には、イベント ID が含まれていません

• フィールドを取得するには、フィルターを使用する必要があります(適切な構造化されたsyslogとは異なります)。この例では fpc%{NUMBER:fpc} Marking ports %{WORD:port-status}、 を使用します。ここで、fpc がフィールド名になり、 NUMBER はメッセージの特定の部分から文字を抽出するために使用される構文 ("2" など) を示します

  • grok フィルターに一致する syslog メッセージの例として、「fpc2 ポート ダウンをマークしています」があります。

• 定数 FPCステータス - 文字列値が「オンライン」です

フィルターについて:

• パターンのデフォルトでは、フィールドと定数値は文字列です。整数または浮動小数点数として扱うには、パターンのフィールド・タイプを整数または浮動小数点数として定義します

• 非構造化パターンの場合、メッセージは基本的にプレーンテキストとして送信され、それ自体ではフィールド情報を含まないため、フィルターを構成する必要があります

• フィルターは、イベント ID の後のメッセージの部分と一致するように常に記述する必要があります。これにより、フィルターは、非構造化形式または構造化形式のどちらで到着したかに関係なく、syslogメッセージを解析できます

  • たとえば、フィルター fpc%{NUMBER:fpc} Marking ports %{WORD:port-status} は以下の syslog メッセージの両方のバージョンに一致します。

    • 構造： <166>1 2019-11-22T02:38:23.132-08:00 R1 - - - - fpc1 Marking ports down

    • 非構造化: Nov 22 02:27:05 R1 fpc1 Marking ports down

既存の syslog イベントパターンファイルのクローニング

Paragon Insightsリリース4.0.0以降、既存のSyslogパターンファイルのクローンを作成できます。

既存のSyslogイベントパターンを複製するには、次の手順に従います。

1. 左側のナビゲーション バーで [ 設定] > [取り込み ] をクリックします。

   [取り込み設定] ページが表示されます。

2. [Syslog] タブをクリックして、[Syslog] ページを表示します。

3. [Syslog 設定] ページの [イベント パターン] セクションをクリックして展開し、既存の syslog イベント パターンを表示します。

4. Paragon Insightsリリース4.0.0および4.1.0のパターンファイルのクローンを作成するには、[ クローン ]アイコンをクリックします。

   Paragon Insightsリリース4.2.0以降用に特定のテンプレートをクローンするには、テンプレート名の横にあるオプションボタンを選択し、[ クローン]をクリックします。

   「 クローン・パターン: <name of syslog pattern> 」ページが表示されます。

   「クローン・パターン:<name of syslog pattern>」ページから、次の操作を実行できます。

   • 既存のフィールドの編集

   • 新しいフィールドまたは定数を追加する

   • キー項目を追加または削除する

5. [ 保存(Save )] をクリックして設定を保存し、syslog パターンを複製します。

   または、[ Save&Deploy ]をクリックして設定を保存し、syslogパターンを複製して、パターンを展開します。

パターンセットへのパターンの追加

パターンを設定したら、それらをパターンセットにグループ化します。

1. [Syslog] ページで、[ パターン セット] セクションをクリックして展開し、プラス (+) アイコンをクリックします。

2. 表示されるポップアップウィンドウで、次のパラメーターを入力します。

   

3. 「 保存してデプロイ」をクリックします。[Syslog] ページに、作成したパターン セットが表示されます。

既存の syslog パターン セットのクローン作成

Paragon Insightsリリース4.0.0以降、既存のSyslogパターンセットのクローンを作成できます。

既存のSyslogパターンセットのクローンを作成するには、次の手順に従います。

1. 左側のナビゲーション バーで [ 設定] > [取り込み ] をクリックします。

   [取り込み設定] ページが表示されます。

2. [Syslog] タブをクリックして、[Syslog] ページを表示します。

3. [Syslog] ページの [パターン セット] セクションをクリックして展開し、既存の syslog パターン セットを表示します。

4. Paragon Insightsリリース4.0.0および4.1.0のパターンセットをクローンするには、[ クローン ]アイコンをクリックします。

   Paragon Insightsリリース4.2.0以降用に特定のテンプレートをクローンするには、テンプレート名の横にあるオプションボタンを選択し、[ クローン]をクリックします。

   「 クローン・パターン・セット: <name of pattern-set> 」ページが表示されます。

   「クローン・パターン・セット:<name of pattern-set>」ページから、次の操作を実行できます。

   • 名前と説明のフィールドを編集する

   • [パターン] フィールドのパターンを追加または削除します。

5. [ Save ] をクリックして設定を保存し、syslog パターン セットのクローンを作成します。

   または、[ Save&Deploy ]をクリックして設定を保存し、syslogパターンセットをクローンして、パターンセットを展開します。

ヘッダーパターンの設定

Paragon Insightsリリース4.0.0以降、syslogメッセージのヘッダー部分を解析するためのパターン値を設定できます。このリリースでは、ジュニパー以外のデバイスの非構造化 syslog メッセージがサポートされています。以前のリリースでは、 RFC 5424 標準で規定されている構造化syslogメッセージ、またはジュニパーデバイスの非構造化syslogメッセージのペイロード部分のみを解析できます。

一般的に、構造化されていないsyslogメッセージは、Juniper syslogメッセージのパターンに一致すると想定されます。例えば、ジュニパーのヘッダーパターンはParagon Insightsに組み込まれているため、設定する必要はありません。ただし、ジュニパー以外のデバイスの非構造化syslogメッセージが組み込みパターンと一致しない場合は、ユーザーが設定したヘッダーパターンの1つと最初の一致が行われます。一致が成功すると、フィールドが抽出されます。一致するものがない場合、着信 syslog メッセージはドロップされます。

ヘッダーパターンを設定するには:

1. 左側のナビゲーション バーの [設定] > [取り込み ] に移動します。

   [取り込み設定] ページが表示されます。

2. [Syslog] をクリックして [Syslog] ページを表示します。

3. [ ヘッダー パターン] セクションをクリックして展開します。

   [Syslog] ページの [ヘッダー パターン] セクションが表示されます。このページから、新しいヘッダー パターンを追加したり、既存のヘッダー パターンを編集または削除したりできます。

4. プラス(+)アイコンをクリックして、新しいヘッダーを追加します。

   「 ヘッダー・パターンの追加」 ページが表示されます。

5. [ ヘッダー パターンの追加] ページに次の情報を入力します。

   1. 「 名前 」フィールドにヘッダー・パターンの名前を入力します。

   2. [ 説明 ] フィールドにヘッダー パターンの説明を入力します。

      たとえば、このヘッダー パターンを作成する理由を 1 行で説明できます。

   3. ヘッダーパターンのフィルターまたは正規表現( regex )を [フィルター] フィールドに入力します。

      メモ：

      regex101.com を使用して、ヘッダー パターンに追加するフィルター パターンを編集、検証、および変更できます。

      フィルター パターンの例としては、 (.*):([A-Z][a-z]{2} \d{1,2} \d{1,2}:\d{1,2}:\d{1,2}\.\d*)\s:\s([a-z]*)\[(\d*)\]:\s*(.*)\s*.

   4. フィールドセクションのlog-host、log-timestamp、およびlog-message-payloadは、ヘッダーの位置を決定する必須フィールドです。

      [フィールド] セクションで、

      1. [ログホスト] をクリックし、次の情報を入力します。

         • 「 名前 」フィールドにログ・ホストの名前を入力します。

           log-host が既定の名前です。

         • [ 説明 ] フィールドにログ ホストの説明を入力します。

           デフォルトの説明は 「ホスト名の位置」です。

         • キャプチャ グループの値をプレフィックス $ を付けて [ From ] フィールドに入力します。

           キャプチャー・グループは、 ログ・ホスト がヘッダー内のどの位置から開始するかを決定します。

      2. [ログ タイムスタンプ] をクリックし、次の情報を入力します。

         • [ 名前 ] フィールドにログ タイムスタンプの名前を入力します。

           ログタイムスタンプ がデフォルト名です。

         • [ 説明 ] フィールドにログタイムスタンプの説明を入力します。

           既定の説明は [タイム スタンプの位置] です。

         • キャプチャ グループの値をプレフィックス $ を付けて [ From ] フィールドに入力します。

           キャプチャー・グループは、ヘッダー内のどの位置から ログ・タイム・スタンプ を開始するかを決定します。

         メモ：

         タイムスタンプ形式が、サンプルのタイムスタンプ形式 "Jan _2 15:04:05 2006" に従っていることを確認します。そうしないと、syslogメッセージの解析が未定義の動作につながります。

      3. 「ログ・メッセージ・ペイロード」をクリックし、以下の情報を入力します。

         • [ Name ] フィールドにログ メッセージ ペイロードの名前を入力します。

           ログメッセージペイロード がデフォルト名です。

         • [説明] フィールドにログ メッセージ ペイロードの説明を入力します。

           デフォルトの説明は [ペイロードの位置] です。

         • キャプチャ グループの値をプレフィックス $ を付けて [ From ] フィールドに入力します。

           キャプチャー・グループは、ヘッダー内のどの位置から ログ・メッセージ・ペイロード を開始するかを決定します。

      4. (オプション)プラス (+) アイコンをクリックして、新しいフィールドを追加します。

         • [ 名前 ] フィールドに新しいフィールドの名前を入力します。

         • [ 説明 ] フィールドに新しいフィールドの説明を入力します。

         • キャプチャ グループの値をプレフィックス $ を付けて [ From ] フィールドに入力します。

           キャプチャー・グループは、ヘッダー内のどの位置から新規フィールドを開始するかを決定します。

         1 つ以上のフィールドを追加するには、プラス (+) アイコンをクリックします。

6. [ キー フィールド ] テキスト ボックスにキー フィールドの名前を入力します。

7. 「保存」をクリックして構成を保存するか、「保存 & Deploy」をクリックして構成を保存し、すぐに展開します。

   または、構成をキャンセルするには、[ キャンセル] をクリックします。

既存のヘッダーパターンの編集

設定済みのヘッダーパターンを編集するには:

1. 左側のナビゲーション バーの [設定] > [取り込み ] に移動します。

   [取り込み設定] ページが表示されます。

2. [Syslog] をクリックして [Syslog] ページを表示します。

3. [ ヘッダー パターン] セクションをクリックして展開します。

   [Syslog 設定] ページの [ヘッダー パターン] セクションが表示されます。

4. ヘッダーパターン名の横にあるチェックボックスをオンにして編集するヘッダーパターンを選択し、[ 編集](鉛筆) アイコンをクリックします。

   「ヘッダー・パターンの編集」 Header Name ページが表示されます。

5. 必須フィールドを編集したら、[ 保存(Save )] をクリックして構成を保存します。

   [ Save&Deploy ] をクリックして、編集した構成を保存し、すぐに展開することもできます。

Syslog センサーを使用したルールの設定

syslog の取り込み設定が完了したら、syslog をセンサーとして使用してルールを作成できます。

このルールには、次の 3 つの要素が含まれます。

• Syslogセンサー

• 対象のデータをキャプチャする 4 つのフィールド

• インターフェイスがダウンしたことを示すトリガー

1. 左側のナビゲーション バーで [ 構成] > [ルール ] をクリックします。

2. [ルール] ページで、[ + ルールの追加] ボタンをクリックします。

3. 表示されるページのルールウィンドウの一番上の行で、ルール名を設定します。この例では、 check-interface-statusです。

4. 必要に応じて、説明と概要を追加します。

5. [+ センサーの追加] ボタンをクリックし、[センサー] タブに次のパラメーターを入力します。

   

6. 次に、[フィールド] タブに移動し、[+ フィールド の追加 ] ボタンをクリックして、次のパラメーターを入力して、 event-id という名前の最初のフィールドを構成します。

   

7. [+ フィールドの追加] ボタンをもう一度クリックし、次のパラメーターを入力して、fpc-slot という名前の 2 番目のフィールドを構成します。

   

8. [+ フィールドの追加] ボタンをもう一度クリックし、次のパラメーターを入力して、if-name という名前の 3 番目のフィールドを構成します。

   

9. [+ フィールドの追加] ボタンをもう一度クリックし、次のパラメーターを入力して、snmp-index という名前の 4 番目のフィールドを構成します。

   

10. 次に、[トリガー] タブに移動し、[ + トリガーの追加 ] ボタンをクリックして、次のパラメーターを入力して、 link-down という名前のトリガーを構成します。

    

11. ウィンドウの右上にある [+ Save & Deploy ] ボタンをクリックします。

ルールの使用上の注意

• [センサー] タブ

  • センサー名 if-status-sensor はユーザー定義です

  • センサーの種類は syslog です

  • パターンセット check-interface-status - 以前に設定されたパターンセットへの参照

  • 設定しない場合、[最大保持期間] の既定値は 1 です

• [フィールド] タブ

  • 4 つのフィールドが定義されています。パターンは 4 つ以上のデータ フィールドをキャプチャしていますが、この例では 4 つの対象フィールドを定義します。これらのフィールドは、トリガー設定で使用されます

  • フィールド名(event-id、 fpc-slot、 if-name、 snmp-index)は、ユーザーが定義します

  • パス イベントID - 生のテーブルに syslog インジェストによって作成されたデフォルトフィールド。パターン構成からフィールドを参照します

  • path fpc - 非構造化パターン構成で使用されるフィルターからの値を参照します。

  • path if-name - パターン構成からフィールドを参照します。

    • すべてのインターフェイスが欠落している場合のデータ - if-name 値が syslog メッセージに含まれていない場合は、文字列値「all interfaces」を使用します。

  • パス snmp-index - パターン設定からフィールドを参照します。

• [トリガー] タブ

  • トリガー名の リンクダウン はユーザー定義です

  • 頻度 2s - Paragon Insightsが2秒ごとにリンクダウンsyslogメッセージを確認する

  • 用語 はリンクダウン - $event-ID が SNMP_TRAP_LINK_DOWNような場合、過去 300秒間のsyslogメッセージで、 赤 にしてメッセージを表示します $if-name(snmp-id:$snmp-index)のリンクダウン

    • $event-id - $ は、ルール フィールド event-id を参照することを示します

    • $if-name(snmp-id: $snmp-index) のリンク ダウン - 例:「FPC 2 の ge-2/0/0 のリンク ダウン」

    • $if-name :フィールド値、つまりsyslogメッセージ内のインターフェイスの名前を参照します

  • term is-fpc-down - $event-id が like PSEUDO_FPC_DOWN の場合、過去 300 秒間の syslog メッセージで、赤色にして FPC$fpc-slot の$if名のリンク ダウン メッセージを表示します。

    • $event-id - $ は、ルール フィールド event-id を参照することを示します。

    • $if名 - "すべてのインターフェイス"

    • FPC$fpc-slot の$if名の リンク ダウン - 例: "FPC 2 のすべてのインターフェイスのリンク ダウン"

プレイブックへのルールの追加

ルールを作成したら、プレイブックに追加できます。この例では、新しいルールを保持する新しいプレイブックを作成します。

1. 左側のナビゲーション バー で [構成] > [プレイブック] をクリックします。

2. [プレイブック] ページで、[ + プレイブックの作成 ] ボタンをクリックします。

3. 表示されるページで、次のパラメーターを入力します。

   

4. 「 保存 & デプロイ」をクリックします。

デバイス グループへのプレイブックの適用

プレイブックを利用するには、それをデバイス グループに適用します。

1. [プレイブック] ページで、インターフェイスステータスの確認プレイブックの [適用 (飛行機)] アイコンをクリックします。

2. 表示されるページで、次の操作を行います。

   • 名前を入力

   • 目的のデバイスグループを選択します

   • 「 インスタンスの実行」をクリックします。

3. [プレイブック] ページで、プレイブック インスタンスが実行されていることを確認します。プレイブックのアクティブ化には時間がかかる場合があることに注意してください。