Configurar Syslog a través de TLS

Procedimiento paso a paso

El siguiente procedimiento requiere que navegue por varios niveles en la jerarquía de configuración. Para obtener información acerca de cómo navegar por la CLI, consulte Uso del editor de CLI en modo de configuración.

Para configurar el dispositivo:

1. Especifique el servidor syslog que recibe los mensajes de registro del sistema. Puede especificar la dirección IP del servidor syslog o un nombre de host completo. En este ejemplo, utilice 10.102.70.233 como dirección IP del servidor syslog.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog host 10.102.70.223 any any

2. Especifique el número de puerto del servidor syslog.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog host 10.102.70.223 port 10514

3. Especifique el protocolo de transporte syslog para el dispositivo. En este ejemplo, use TLS como protocolo de transporte.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog host 10.102.70.223 transport tls 

4. Especifique el nombre del grupo de entidades emisoras de certificados (CA) de confianza o especifique el nombre del perfil de CA que se va a utilizar. En este ejemplo, utilice example-ca como perfil de CA.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog host 10.102.70.223 tlsdetails trusted-ca-group trusted-ca-group-name ca-profiles example-ca

5. Configure el dispositivo para enviar todos los mensajes de registro.

   content_copy zoom_out_map

   [edit]
   user@host# set system syslog file messages any any

6. Confirme la configuración.

   content_copy zoom_out_map

   [edit]
   user@host# commit

Configuración rápida de CLI

Para configurar rápidamente esta sección del ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security log mode stream
set security log format sd-syslog
set security log source-interface ge-0/0/1.0
set security log transport protocol tls
set security log transport tls-profile ssl-i-tls
set security log stream server1 format sd-syslog
set security log stream server1 category all
set security log stream server1 host 192.0.2.100
set services ssl initiation profile ssl-i-tls protocol-version all
set services ssl initiation profile ssl-i-tls trusted-ca all
set services ssl initiation profile ssl-i-tls actions ignore-server-auth-failure

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar el protocolo syslog TLS:

1. Establezca el modo de registro en stream.

   content_copy zoom_out_map

   [edit security]
   user@host# set log mode stream
   

2. Especifique el formato de registro del sistema estructurado (sd-syslog) para el registro remoto de mensajes de seguridad.

   content_copy zoom_out_map

   [edit security]
   user@host# set log format sd-syslog
   

3. Establezca el número de interfaz de origen del host.

   content_copy zoom_out_map

   [edit security]
   user@host# set log source-interface ge-0/0/1.0
   

4. Especifique TLS como protocolo de transporte del registro de seguridad que se utilizará para registrar los datos.

   content_copy zoom_out_map

   [edit security]
   user@host# set log transport protocol tls
   

5. Especifique el nombre del perfil TLS.

   content_copy zoom_out_map

   [edit security]
   user@host# set log transport tls-profile ssl-i-tls
   

6. Establezca la secuencia de registro para que utilice el formato syslog estructurado para enviar registros al servidor 1.

   content_copy zoom_out_map

   [edit security]
   user@host# set log stream server1 format sd-syslog
   

7. Establezca la categoría de registro del servidor 1 en todos.

   content_copy zoom_out_map

   [edit security]
   user@host# set log stream server1 category all
   

8. Especifique los parámetros de host del servidor introduciendo el nombre del servidor o la dirección IP.

   content_copy zoom_out_map

   [edit security]
   user@host# set log stream server1 host 192.0.2.100
   

9. Defina la versión del protocolo para el perfil de acceso de iniciación SSL.

   content_copy zoom_out_map

   [edit services]
   user@host# set ssl initiation profile ssl-i-tls protocol-version all
   

10. Adjunte todos los grupos de perfiles de CA al perfil de iniciación de SSL para usarlos al solicitar un certificado del mismo nivel.

    content_copy zoom_out_map

    [edit services]
    user@host# set ssl initiation profile ssl-i-tls trusted-ca all
    

11. Configure el perfil de acceso de iniciación SSL para omitir el error de autenticación del servidor.

    content_copy zoom_out_map

    [edit services]
    user@host# set ssl initiation profile ssl-i-tls actions ignore-server-auth-failure
    

Resultados

En el modo de configuración, compruebe la configuración mediante el show security log comando. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@host# show security log
    mode stream;
        format sd-syslog;
        source-interface ge-0/0/1.0;
        transport {
            protocol tls;
            tls-profile ssl-i-tls;
        }
        stream server1 {
            format sd-syslog;
            category all;
            host {
            192.0.2.100;
            }
        }
    }

[edit]
user@host# run show configuration services ssl initiation
    profile ssl-i-tls {
        protocol-version all;
        trusted-ca all;
        actions {
            ignore-server-auth-failure;
        }
    }

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.