На этой странице
Настройка Syslog через TLS
SUMMARY Узнайте, как настроить устройство для безопасной переноса сообщений системного журнала (также известных как сообщения системного журнала) по протоколу транспортный уровень безопасности (TLS).
Журналы плоскости управления
syslog statement at the [system]
hierarchy level.Примере: Настройка Syslog через TLS
В этом примере показано, как настроить Juniper Networks для безопасной передачи сообщений syslog (плоскость управления журналов) по TLS.
Требования
В данном примере используются следующие аппаратные и программные компоненты:
-
Junos OS версии 21.2 или более поздней
-
Устройство, Junos OS (клиент syslog)
-
Сервер Syslog
Обзор
Протокол TLS используется для обеспечения безопасной транспортировки сообщений системного журнала (плоскость управления журналов) от клиента системного журнала к серверу системного журнала. TLS использует сертификаты для аутентификации и шифрования данных.
- Аутентификация сервера (или TLS в одном сторону) — клиент проверяет идентификацию сервера и доверяет серверу.
- Взаимная аутентификация — сервер и клиент доверяют друг другу.
В зависимости от сети можно выбрать аутентификацию сервера или взаимную аутентификацию. Чтобы быстро получить доступ к необходимой информации, щелкните ссылки в таблице 1.
|
Режим аутентификации |
Процедуры |
Раздел, на котором размещена информация |
|---|---|---|
|
Аутентификация сервера |
Настройка PKI Конфигурировать устройство |
Конфигурации
В следующем примере протокол TLS используется для безопасной переноса сообщений syslog (плоскость управления журналов) с Juniper устройства на удаленный сервер syslog. На рис. 1 показана основная топология, используемая в данном примере.
- Обзор конфигурации инфраструктуры открытых ключей (PKI)
- Настройка аутентификации сервера на устройстве
- Результаты
- Проверки
Обзор конфигурации инфраструктуры открытых ключей (PKI)
Настройка PKI на устройстве:
- Создайте профиль органа сертификации (CA) и связывайте идентификатор CA с CA профилем. См. пример: Настройка CA профиля.
- (Необязательно) Создайте проверку отзыва, чтобы указать метод проверки сертификата. Можно использовать либо списки отзыва сертификатов (CRLs), либо интерактивный протокол статуса сертификатов (OCSP). См. "Отзыв сертификата".
- (Необязательно) Создайте доверенного CA группу и добавьте профиль CA в доверную группу. См. "Настройка группы доверенных CA".
- Загрузит CA на устройство. Сертификат можно загрузить вручную. См. пример: Загрузка CA и локальных сертификатов вручную. В зависимости от среды развертывания можно использовать протокол управления сертификатами версии 2 (CMPv2) или Простой протокол регистрации сертификатов (SCEP) для интерактивного зачисления сертификатов. См. "Регистрация сертификата CA в Интернете с помощью SCEP и понимание регистрации сертификатов с помощью CMPv2.
- (Необязательно для взаимной аутентификации) Загрузит локальный сертификат на устройство. Локальный сертификат можно загрузить вручную. В зависимости от среды развертывания можно использовать CMPv2 или SCEP для интерактивного зачисления сертификатов. См. "Регистрация локального сертификата в Интернете с помощью SCEP и понимание регистрации сертификатов с помощью CMPv2".
- Убедитесь, что сертификаты загружены успешно. Используйте команду request security pki ca-certificate verify, чтобы проверить, CA ли сертификат успешно загружен. Используйте команду request security pki local-certificate verify для проверки успешной загрузки локального сертификата.
Настройка аутентификации сервера на устройстве
Пошаговая процедура
Следующая процедура требует перемещения по разным уровням в иерархии конфигурации. Для получения информации о навигации по интерфейс командной строки см. Использование редактора интерфейс командной строки в режиме конфигурации.
Настройка устройства:
-
Укажите сервер системного журнала, который получает сообщения системного журнала. Можно указать IP-адрес сервера syslog или полное имя хоста. В данном примере в качестве IP-адреса сервера syslog используется адрес 10.102.70.233.
[edit] user@host# set system syslog host 10.102.70.233 any any
-
Укажите номер порта сервера syslog.
[edit] user@host# set system syslog host 10.102.70.233 port 10514
-
Укажите транспортный протокол syslog для устройства. В данном примере в качестве транспортного протокола используется TLS.
[edit] user@host# set system syslog host 10.102.70.223 transport tls
-
Укажите имя доверенного центр сертификации (CA) или укажите имя CA профиля, который будет использоваться. В этом примере в качестве CA используйте example-ca.
[edit] user@host# set system syslog host 10.102.70.223 tlsdetails ca-profiles example-ca
-
Настройте устройство на отправку всех сообщений журнала.
[edit] user@host# set system syslog file messages any any
-
Сфиксировать конфигурацию.
[edit] user@host# commit
Результаты
В режиме конфигурации подтвердите конфигурацию с помощью show system syslog команды.
[edit]
user@host# show system syslog
host 10.102.70.223
{
port 10514;
transport tls;
tlsdetails
{
local-certificate example-cert;
ca-profiles example-ca;
}
}Проверки
Чтобы проверить правильность работы конфигурации, введите show log команду на сервере syslog.
См. также
Журналы плоскости данных
Примере: Настройка протокола Syslog TLS на серия SRX устройств
В этом примере показано, как настроить транспортный уровень (TLS) syslog на серия SRX устройствах получать зашифрованные события syslog от сетевых устройств, поддерживаюющих TLS syslog event forwarding.
Требования
Перед началом в нужном режиме необходимо включить функции проверки сертификата сервера, шифрования или расшифровки.
Обзор
Протокол Syslog TLS позволяет источнику журнала получать шифрованные события syslog от сетевых устройств, поддерживаюющих переадноваифровку событий SYSLOG TLS. Источник журнала создает порт прослушивания для входящих событий syslog TLS и создания файла сертификата для сетевых устройств.
В данном примере настраивается сборщик syslog, связанный с одним профилем SSL-I. Каждый профиль SSL-I позволяет пользователю указать такие вещи, как предпочтительный набор шифров и доверенные CA сертификаты. Можно настроить несколько профилей SSL-I и связать их с различными серверами-сборщиками.
Конфигурации
Процедуры
интерфейс командной строки быстрой конфигурации
Для быстрой настройки этого раздела примера, скопируйте следующие команды, введите их в текстовый файл, удалите все разрывы строки, измените все данные, необходимые для настройки сети, скопируйте и введите команды на интерфейс командной строки иерархии, а затем войдите из режима [edit]commit конфигурации.
set security log mode stream set security log format sd-syslog set security log source-interface ge-0/0/1.0 set security log transport protocol tls set security log transport tls-profile ssl-i-tls set security log stream server1 format sd-syslog set security log stream server1 category all set security log stream server1 host 192.0.2.100 set services ssl initiation profile ssl-i-tls protocol-version all set services ssl initiation profile ssl-i-tls trusted-ca all set services ssl initiation profile ssl-i-tls actions ignore-server-auth-failure
Пошаговая процедура
В следующем примере необходимо провести различные уровни в иерархии конфигурации. Инструкции по этому способу см. в "Использование редактора интерфейс командной строки в режиме конфигурации" в руководстве интерфейс командной строки пользователя.
Для настройки протокола Syslog TLS:
-
Установите режим регистрации для потока.
[edit security] user@host# set log mode stream
-
Укажите формат структурированного системного журнала (sd-syslog) для ведения журнала сообщений удаленной защиты.
[edit security] user@host# set log format sd-syslog
-
Установите номер интерфейса источника хоста.
[edit security] user@host# set log source-interface ge-0/0/1.0
-
В качестве транспортного протокола журнала безопасности, который будет использоваться для регистрации данных, укажите TLS.
[edit security] user@host# set log transport protocol tls
-
Укажите имя профиля TLS.
[edit security] user@host# set log transport tls-profile ssl-i-tls
-
Установите поток журнала для использования структурированного формата syslog для отправки журналов серверу 1.
[edit security] user@host# set log stream server1 format sd-syslog
-
Установите для журнала сервера 1 категорию all.
[edit security] user@host# set log stream server1 category all
-
Укажите параметры хоста сервера, введя имя сервера или IP-адрес.
[edit security] user@host# set log stream server1 host 192.0.2.100
-
Определите версию протокола all для профиля доступа инициации SSL.
[edit services] user@host# set ssl initiation profile ssl-i-tls protocol-version all
-
Прикрепляя CA профилей к профилю инициации SSL для запроса сертификата у одноранговых пользователей.
[edit services] user@host# set ssl initiation profile ssl-i-tls trusted-ca all
-
Настройте профиль доступа инициализации SSL, чтобы игнорировать ошибку аутентификации сервера.
[edit services] user@host# set ssl initiation profile ssl-i-tls actions ignore-server-auth-failure
Результаты
В режиме конфигурации проверьте конфигурацию с помощью show security log команды. Если в выходных данных не отображается указанная конфигурация, повторите инструкции по настройке, показанные в данном примере, чтобы исправить ее.
[edit]
user@host# show security log
mode stream;
format sd-syslog;
source-interface ge-0/0/1.0;
transport {
protocol tls;
tls-profile ssl-i-tls;
}
stream server1 {
format sd-syslog;
category all;
host {
192.0.2.100;
}
}
}
[edit]
user@host# run show configuration services ssl initiation
profile ssl-i-tls {
protocol-version all;
trusted-ca all;
actions {
ignore-server-auth-failure;
}
}
После настройки устройства войдите в commit режим конфигурации.
Проверки
Чтобы проверить правильность работы конфигурации, введите show log команду на сервере syslog.