このページで
TLS 経由で Syslog を構成する
SUMMARY トランスポート層セキュリティ(TLS)プロトコルを介して、システムログメッセージ(syslogメッセージとも呼ばれます)を安全に転送するようにデバイスを設定する方法について説明します。
コントロールプレーンログ
syslog statement at the [system]
hierarchy level.例：TLS 経由で Syslog を構成する
この例では、TLS経由でsyslogメッセージ(コントロールプレーンログ)を安全に転送するようにジュニパーネットワークスのデバイスを設定する方法を示しています。
要件
この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。
-
Junos OS リリース 21.2R1 以降
-
Junos OS Evolved リリース 23.4R1 以降
-
Junos OSまたはJunos OS Evolvedを実行するデバイス(syslogクライアント)
-
Syslogサーバ
概要
TLSプロトコルを使用して、syslogクライアントからsyslogサーバにシステムログメッセージ(コントロールプレーンログ)を安全に転送できるようにします。TLS は、証明書を使用して通信の認証と暗号化を行います。
- サーバー認証(または一方向 TLS):クライアントはサーバーの ID を確認し、サーバーを信頼します。
- 相互認証 - サーバーとクライアントの両方がお互いを信頼します。
ネットワークに応じて、サーバー認証または相互認証のいずれかを選択できます。必要な情報にすばやくアクセスするには、 表 1 のリンクをクリックしてください。
|
認証モード |
手順 |
情報が配置されているセクション |
|---|---|---|
|
サーバー認証 |
PKI を構成する デバイスを設定する |
設定
次の例では、TLSプロトコルを使用して、ジュニパーデバイスからリモートsyslogサーバーにsyslogメッセージ(コントロールプレーンログ)を安全に転送します。図 1 に、この例で使用する基本的なトポロジーを示します。
公開キー基盤(PKI)構成の概要
デバイスで PKI を構成するには:
- 証明機関 (CA) プロファイルを作成し、CA 識別子を CA プロファイルに関連付けます。変更された手順については、「例：CA プロファイルの設定.
- (オプション)失効チェックを作成して、証明書の検証方法を指定します。証明書失効リスト (CRL) またはオンライン証明書状態プロトコル (OCSP) のいずれかを使用できます。証明書の失効を参照してください。
- (オプション)信頼された CA グループを作成し、信頼されたグループに CA プロファイルを追加します。信頼された CA グループの設定を参照してください。
- デバイスに CA 証明書を読み込みます。証明書は手動で読み込むことができます。変更された手順については、「例：CA 証明書とローカル証明書を手動で読み込む。展開環境に基づいて、オンライン証明書登録に証明書管理プロトコル バージョン 2 (CMPv2) または簡易証明書登録プロトコル (SCEP) を使用できます。SCEP を使用した CA 証明書のオンライン登録および CMPv2 での証明書の登録についてを参照してください。
- (相互認証の場合はオプション)デバイスにローカル証明書を読み込みます。ローカル証明書は手動でロードできます。展開環境に基づいて、オンライン証明書の登録に CMPv2 または SCEP を使用できます。SCEP を使用したローカル証明書のオンライン登録および CMPv2 での証明書の登録についてを参照してください。
- 証明書が正常に読み込まれたことを確認します。セキュリティ pki の要求 ca-certificate verify コマンドを使用して、CA 証明書が正常に読み込まれたかどうかを確認します。要求セキュリティ pki ローカル証明書検証コマンドを使用して、ローカル証明書が正常に読み込まれたことを確認します。
デバイスでのサーバー認証の構成
ステップバイステップでの手順
次の手順では、設定階層内のさまざまなレベルに移動する必要があります。https://www.juniper.net/documentation/us/en/software/junos/routing-policy/topics/concept/cli-editor-configuration-mode-quick-reference-using.htmlCLIのナビゲーションについては、「1 コンフィグレーション・モードでのCLIエディタの使用」1 を参照してください。
デバイスを設定するには:
-
システム ログ メッセージを受信する syslog サーバーを指定します。syslog サーバの IP アドレスまたは完全修飾ホスト名を指定できます。この例では、syslog サーバの IP アドレスとして 10.102.70.233 を使用します。
[edit] user@host# set system syslog host 10.102.70.233 any any
-
syslog サーバーのポート番号を指定します。
[edit] user@host# set system syslog host 10.102.70.233 port 10514
-
デバイスの syslog トランスポート プロトコルを指定します。この例では、トランスポート プロトコルとして TLS を使用します。
[edit] user@host# set system syslog host 10.102.70.223 transport tls
-
トラステッド認証局(CA)グループの名前を指定するか、または使用するCAプロファイルの名前を指定します。この例では、CA プロファイルとして example-ca を使用します。
[edit] user@host# set system syslog host 10.102.70.223 tlsdetails trusted-ca-group ca-profiles example-ca
-
すべてのログ メッセージを送信するようにデバイスを設定します。
[edit] user@host# set system syslog file messages any any
-
設定をコミットします。
[edit] user@host# commit
結果
構成モードで、 コマshow system syslogンドを使用して構成を確認します。
[edit]
user@host# run show system syslog
host 10.102.70.223
{
port 10514;
transport tls;
tlsdetails {
local-certificate example-cert;
trusted-ca-group trusted-ca-group-name {
ca-profiles example-ca};
}
}
}検証
設定が正しく機能していることを確認するには、syslog サーバで show log コマンドを入力します。
関連項目
データプレーンログ
例：SRXシリーズファイアウォールでTLS Syslogプロトコルを設定する
この例では、SRXシリーズファイアウォールでトランスポート層セキュリティ(TLS)syslogプロトコルを構成して、TLS syslogイベント転送をサポートするネットワークデバイスから暗号化されたsyslogイベントを受信する方法を示しています。
要件
開始する前に、サーバー証明書の検証と暗号化または復号化機能を有効にします。
概要
TLS syslog プロトコルを使用すると、ログ・ソースは、TLS syslog イベント転送をサポートするネットワーク・デバイスから暗号化された syslog イベントを受信できます。ログ・ソースはリスニング・ポートを作成します 受信 TLS syslog イベント用であり、ネットワーク デバイスの証明書ファイルを生成します。
この例では、1 つの SSL-I プロファイルに関連付けられた syslog コレクタを設定します] をクリックします。各 SSL-I プロファイルを使用すると、ユーザーは優先暗号スイートやトラステッド CA 証明書などを指定できます。複数の SSL-I プロファイルを設定し、それらのプロファイルを異なるコレクター・サーバーに関連付けることができます。
設定
手順
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、設定モードから commit を入力します。
set security log mode stream set security log format sd-syslog set security log source-interface ge-0/0/1.0 set security log transport protocol tls set security log transport tls-profile ssl-i-tls set security log stream server1 format sd-syslog set security log stream server1 category all set security log stream server1 host 192.0.2.100 set services ssl initiation profile ssl-i-tls protocol-version all set services ssl initiation profile ssl-i-tls trusted-ca all set services ssl initiation profile ssl-i-tls actions ignore-server-auth-failure
ステップバイステップでの手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、『CLIユーザー ガイド』の「設定モードにおけるCLIエディターの使用」を参照してください。
TLS syslog プロトコルを設定するには、次の手順を実行します。
-
ログ モードをストリーミングに設定します。
[edit security] user@host# set log mode stream
-
リモート セキュリティ メッセージ ロギングの構造化システム ログ(sd-syslog)形式を指定します。
[edit security] user@host# set log format sd-syslog
-
ホスト送信元インターフェイス番号を設定します。
[edit security] user@host# set log source-interface ge-0/0/1.0
-
データのログ記録に使用するセキュリティ ログ転送プロトコルとして TLS を指定します。
[edit security] user@host# set log transport protocol tls
-
TLS プロファイル名を指定します。
[edit security] user@host# set log transport tls-profile ssl-i-tls
-
サーバー 1 にログを送信するために構造化された syslog 形式を使用するようにログ・ストリームを設定します。
[edit security] user@host# set log stream server1 format sd-syslog
-
サーバー 1 のログ記録のカテゴリを all に設定します。
[edit security] user@host# set log stream server1 category all
-
サーバー名または IP アドレスを入力して、サーバー ホスト パラメーターを指定します。
[edit security] user@host# set log stream server1 host 192.0.2.100
-
プロトコルバージョン all を SSL 開始アクセスプロファイル用に定義します。
[edit services] user@host# set ssl initiation profile ssl-i-tls protocol-version all
-
ピアから証明書を要求するときに使用する SSL 開始プロファイルに、すべての CA プロファイル・グループを付加します。
[edit services] user@host# set ssl initiation profile ssl-i-tls trusted-ca all
-
サーバー認証の失敗を無視するように SSL 開始アクセス プロファイルを構成します。
[edit services] user@host# set ssl initiation profile ssl-i-tls actions ignore-server-auth-failure
結果
構成モードで、 show security log コマンドを使用して構成を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
[edit]
user@host# show security log
mode stream;
format sd-syslog;
source-interface ge-0/0/1.0;
transport {
protocol tls;
tls-profile ssl-i-tls;
}
stream server1 {
format sd-syslog;
category all;
host {
192.0.2.100;
}
}
}
[edit]
user@host# run show configuration services ssl initiation
profile ssl-i-tls {
protocol-version all;
trusted-ca all;
actions {
ignore-server-auth-failure;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正しく機能していることを確認するには、syslog サーバで show log コマンドを入力します。