TLS를 통한 Syslog 구성

단계별 절차

다음 절차에서는 구성 계층의 다양한 수준을 탐색해야 합니다. CLI 탐색에 대한 정보는 구성 모드에서 CLI 편집기 사용을 참조하십시오.

디바이스를 구성하려면 다음을 수행합니다.

1. 시스템 로그 메시지를 수신하는 syslog 서버를 지정합니다. syslog 서버의 IP 주소 또는 정규화된 호스트 이름을 지정할 수 있습니다. 이 예에서는 10.102.70.233을 syslog 서버의 IP 주소로 사용합니다.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog host 10.102.70.223 any any

2. syslog 서버의 포트 번호를 지정합니다.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog host 10.102.70.223 port 10514

3. 디바이스에 대한 syslog 전송 프로토콜을 지정합니다. 이 예제에서는 TLS를 전송 프로토콜로 사용합니다.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog host 10.102.70.223 transport tls 

4. 신뢰할 수 있는 인증 기관(CA) 그룹의 이름을 지정하거나 사용할 CA 프로파일의 이름을 지정하십시오. 이 예에서는 example-ca를 CA 프로필로 사용합니다.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog host 10.102.70.223 tlsdetails trusted-ca-group trusted-ca-group-name ca-profiles example-ca

5. 모든 로그 메시지를 보내도록 디바이스를 구성합니다.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog file messages any any

6. 구성을 커밋합니다.

   content_copy zoom_out_map

   [edit]
   user@host# commit

CLI 빠른 구성

이 예의 섹션을 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성과 일치시키는 데 필요한 세부 사항을 변경하고 계층 수준에서 [edit] 명령을 복사하여 CLI로 붙여 넣은 다음, 구성 모드에서 commit을(를) 입력합니다.

set security log mode stream
set security log format sd-syslog
set security log source-interface ge-0/0/1.0
set security log transport protocol tls
set security log transport tls-profile ssl-i-tls
set security log stream server1 format sd-syslog
set security log stream server1 category all
set security log stream server1 host 192.0.2.100
set services ssl initiation profile ssl-i-tls protocol-version all
set services ssl initiation profile ssl-i-tls trusted-ca all
set services ssl initiation profile ssl-i-tls actions ignore-server-auth-failure

단계별 절차

다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.

TLS syslog 프로토콜을 구성하려면 다음을 수행합니다.

1. 로그 모드를 스트리밍으로 설정합니다.

   content_copy zoom_out_map

   [edit security]
   user@host# set log mode stream
   

2. 원격 보안 메시지 로깅을 위한 구조화된 시스템 로그(sd-syslog) 형식을 지정합니다.

   content_copy zoom_out_map

   [edit security]
   user@host# set log format sd-syslog
   

3. 호스트 소스 인터페이스 번호를 설정합니다.

   content_copy zoom_out_map

   [edit security]
   user@host# set log source-interface ge-0/0/1.0
   

4. 데이터를 기록하는 데 사용할 보안 로그 전송 프로토콜로 TLS를 지정합니다.

   content_copy zoom_out_map

   [edit security]
   user@host# set log transport protocol tls
   

5. TLS 프로파일 이름을 지정하십시오.

   content_copy zoom_out_map

   [edit security]
   user@host# set log transport tls-profile ssl-i-tls
   

6. 서버 1에 로그를 전송하기 위해 구조화된 syslog 형식을 사용하도록 로그 스트림을 설정합니다.

   content_copy zoom_out_map

   [edit security]
   user@host# set log stream server1 format sd-syslog
   

7. 서버 1 로깅의 범주를 모두로 설정합니다.

   content_copy zoom_out_map

   [edit security]
   user@host# set log stream server1 category all
   

8. 서버 이름 또는 IP 주소를 입력하여 서버 호스트 매개 변수를 지정합니다.

   content_copy zoom_out_map

   [edit security]
   user@host# set log stream server1 host 192.0.2.100
   

9. SSL 시작 액세스 프로파일에 대한 프로토콜 버전 모두를 정의합니다.

   content_copy zoom_out_map

   [edit services]
   user@host# set ssl initiation profile ssl-i-tls protocol-version all
   

10. 피어에서 인증서를 요청할 때 사용할 SSL 시작 프로필에 모든 CA 프로필 그룹을 연결합니다.

    content_copy zoom_out_map

    [edit services]
    user@host# set ssl initiation profile ssl-i-tls trusted-ca all
    

11. 서버 인증 실패를 무시하도록 SSL 시작 액세스 프로필을 구성합니다.

    content_copy zoom_out_map

    [edit services]
    user@host# set ssl initiation profile ssl-i-tls actions ignore-server-auth-failure
    

결과

구성 모드에서 명령을 사용하여 show security log 구성을 확인합니다. 출력이 의도한 구성을 표시하지 않으면 이 예의 구성 지침을 반복하여 수정합니다.

[edit]
user@host# show security log
    mode stream;
        format sd-syslog;
        source-interface ge-0/0/1.0;
        transport {
            protocol tls;
            tls-profile ssl-i-tls;
        }
        stream server1 {
            format sd-syslog;
            category all;
            host {
            192.0.2.100;
            }
        }
    }

[edit]
user@host# run show configuration services ssl initiation
    profile ssl-i-tls {
        protocol-version all;
        trusted-ca all;
        actions {
            ignore-server-auth-failure;
        }
    }

디바이스 구성을 마쳤으면 구성 모드에서 commit을(를) 입력합니다.