系统日志服务器概述和配置

系统日志消息类型

MX 安全设备支持发送四类消息/角色：事件日志、IDS 警报、URL 和流。MR 无线接入点可以发送除 IDS 警报外的其他相同角色。MS 交换机当前仅支持发送事件日志消息。

有关系统日志消息及其内容的其他信息，请参阅 RFC 5424。

配置系统日志服务器

在 Linux 系统上可以迅速轻松地配置系统日志服务器，另外有许多适用于其他操作系统的其他系统日志服务器（例如适用于 Windows 的 Kiwi Syslog）。

以下命令详细说明了 Ubuntu 13.04 上一个使用 syslog-ng 从 MX 安全设备收集系统日志消息的系统日志服务器配置示例。

注意：下列命令概述一个仅供演示使用的配置示例。请参阅您的服务器文档，了解特定指令和信息。

第一步是安装系统日志应用：

sysadmin@ubuntu:~$ sudo apt-get install syslog-ng

安装系统日志工具后，需要对其进行配置，以接收来自 MX 的日志消息。这些指令会将 syslog-ng 配置为在各自的日志文件中存储每种类别的角色。URL、事件日志等将存储在单个日志文件中。此外，也可以配置为把所有日志存储在一个文件中。使用任何合适的编辑器对 syslog-ng 配置文件进行更改。在本示例中使用 nano 编辑文件。

sysadmin@ubuntu:~$ sudo nano /etc/syslog-ng/syslog-ng.conf

在本示例中，MX 的局域网 IP 将会是 192.168.10.1。系统日志服务器正在 192.168.10.241 UDP 端口 514 上侦听。根据需要进行更新，以反映所配置的 MX 和系统日志服务器的局域网 IP。代码的第一部分将所有来自 MX 的系统日志消息配置为存储在 /var/log/meraki.log 中。代码的第二部分使用正则表达式来匹配每种类别的角色，并将它们存储在单个日志文件中。仅需配置一个选项。

选项 1 - 将所有消息记录在 /var/log/meraki.log 中：

#define syslog source
source s_net { udp(ip(192.168.10.241) port(514)); };

#create filter to match traffic (this filter will catch all syslog messages that come from the MX)
filter f_meraki { host( "192.168.10.1" ); };

#define a destination for the syslog messages
destination df_meraki { file("/var/log/meraki.log"); };

#bundle the source, filter, and destination rules together with a logging rule
log { source ( s_net ); filter( f_meraki ); destination ( df_meraki ); };

选项 2 - 将不同类型的消息记录在单个日志文件中：

#define syslog source
source s_net { udp(ip(192.168.10.241) port(514)); };

#create individual filters to match each of the role categories
filter f_meraki_urls { host( "192.168.10.1" ) and match("urls" value ("MESSAGE")); };
filter f_meraki_events { host( "192.168.10.1" ) and match("events" value ("MESSAGE")); };
filter f_meraki_ids-alerts { host( "192.168.10.1" ) and match("ids-alerts" value ("MESSAGE")); };
filter f_meraki_flows { host( "192.168.10.1" ) and match("flows" value ("MESSAGE")); };

#define individual destinations for each of the role categories
destination df_meraki_urls { file("/var/log/meraki_urls.log"); };
destination df_meraki_events { file("/var/log/meraki_events.log"); };
destination df_meraki_ids-alerts { file("/var/log/meraki_ids-alerts.log"); };
destination df_meraki_flows { file("/var/log/meraki_flows.log"); };

#bundle the source, filter, and destination rules together with a logging rule for each role category
log { source ( s_net ); filter( f_meraki_urls ); destination ( df_meraki_urls ); };
log { source ( s_net ); filter( f_meraki_events ); destination ( df_meraki_events ); };
log { source ( s_net ); filter( f_meraki_ids-alerts ); destination ( df_meraki_ids-alerts ); };
log { source ( s_net ); filter( f_meraki_flows ); destination ( df_meraki_flows ); };

最后一步是重新启动 syslog-ng 流程：

sysadmin@ubuntu:~$ sudo /etc/init.d/syslog-ng restart 

配置控制面板

在“控制面板”中，可以在网络范围 > 配置 > 常规下定义系统日志服务器。

点击添加系统日志服务器链接，定义新的服务器。需要定义的内容包括 IP 地址、UDP 端口号和要发送到服务器的角色。可以配置多个系统日志服务器。

如果 MX 安全设备上启用了流角色，则可以前往安全设备 > 配置 > 防火墙页面，在日志记录列下启用/禁用适用于单个防火墙规则的日志记录。

其他注意事项

系统日志消息会占用许多磁盘空间。在确定运行系统日志服务器的主机时，请确保该主机拥有足够的存储空间来保存日志。查阅系统日志工具手册页，了解有关将日志仅保留一段时间的更多信息。

如果环境中有多个使用站点到站点 VPN 的 MX 设备，且日志记录已在 VPN 的远程方上的系统日志服务器中完成，则该流量将受站点到站点防火墙的制约。同样地，请注意可能有必要创建一个站点到站点防火墙规则，以允许系统日志流量通过。可以从安全设备 > 配置 > 站点到站点 VPN > 组织范围的设置 > 添加规则执行此操作。

源 IP 地址必须是将系统日志消息发回到系统日志服务器的 MX 的互联网端口 1 地址。目标 IP 地址是系统日志服务器的 IP 地址。如果系统日志服务器不使用标准 UDP 端口 514 侦听系统日志消息，请更改目标端口号。