Produktdokumentation
ADC
14.1 - Current Release 13.1 13.0 12.1
PDF anzeigen

Managementprotokolle direkt von NetScaler nach Splunk exportieren

February 12, 2024
Beitrag von: 
C

Sie können nun auf der Basis von Kategorien, wie shell, access, und nsmgmt, Managementprotokolle (Protokolle, die keine Paket-Engine-Protokolle sind) von NetScaler auf branchenübliche Protokollaggregationsplattformen wie Splunk exportieren. Mithilfe der Visualisierungstools von Splunk erhalten Sie aussagekräftige Einblicke in die exportierten Daten.

Es gibt mehrere Möglichkeiten, Management-Logs von NetScaler nach Splunk zu exportieren. Sie können Splunk entweder als HTTP-Server oder als Syslog-Server konfigurieren. In der HTTP-Serverkonfiguration können Sie den HTTP Event Collector verwenden, um Management-Logs über HTTP (oder HTTPS) direkt von Ihrem NetScaler an die Splunk-Plattform zu senden. In der Syslog-Serverkonfiguration werden Management-Logs als Syslog-Payloads von NetScaler an Splunk gesendet.

Export von Managementprotokollen von NetScaler nach Splunk, konfiguriert als HTTP-Server

Um den Export von Verwaltungsprotokollen zu konfigurieren, müssen Sie die folgenden Schritte ausführen:

  1. Konfigurieren Sie einen HTTP-Event-Collector auf Splunk.
  2. Erstellen Sie einen Collector-Service und ein Zeitreihenanalyseprofil auf NetScaler.

HTTP-Event-Collector auf Splunk konfigurieren

Sie können Audit-Logs an Splunk weiterleiten, indem Sie einen HTTP-Event-Collector konfigurieren.

Informationen zur Konfiguration des HTTP-Event-Collectors finden Sie in der Splunk-Dokumentation.

Nachdem Sie den HTTP-Event-Collector konfiguriert haben, kopieren Sie das Authentifizierungstoken und speichern Sie es als Referenz. Sie müssen dieses Token bei der Konfiguration des Analyseprofils auf NetScaler angeben.

Konfigurieren Sie ein Zeitreihenanalyseprofil auf NetScaler

Gehen Sie wie folgt vor, um NetScaler-Verwaltungsprotokolle nach Splunk zu exportieren.

  1. Erstellen Sie einen Collector-Service für Splunk.

    add service <collector> <splunk-server-ip-address> <protocol> <port>

    Beispiel:

    add service splunk_service 10.102.34.155 HTTP 8088

    In dieser Konfiguration:

    • ip-address: IP-Adresse des Splunk-Servers.
    • collector-name: Name des Sammlers.
    • protocol: Geben Sie das Protokoll als HTTP oder HTTPS an
    • port: Portnummer.

  2. Erstellen Sie ein Zeitreihenanalyseprofil.

    add analytics profile `profile-name` -type time series -managementlog <management-log-type> -collectors `collector-name` -analyticsAuthToken `auth-tocken`-analyticsEndpointContentType `Application/json` -analyticsEndpointMetadata `meta-data-for-endpoint` -analyticsEndpointUrl `endpoint-url`

    Beispiel:

     add analytics profile audit_profile -type timeseries -managementlog ACCESS -collectors splunk -analyticsAuthToken "Splunk 1234-5678-12345" -analyticsEndpointContentType "application/json" -analyticsEndpointMetadata "{\"sourcetype\":\"logs-and-events-directly-from-netscaler\", \"source\":\"test\",\"event\":"} -analyticsEndpointUrl "/services/collector/event"

    In dieser Konfiguration:

    • managementlog: Typen von Verwaltungsprotokollen, die Sie exportieren müssen. Die folgenden Optionen sind verfügbar:
      • ALL: Schließt alle Kategorien von Verwaltungs- und Hostprotokollen ein.
      • SHELL: umfasst bash.log und sh.log.
      • Access: umfasst Protokolle wie auth.log, nsvpn.log, vpndebug.log, httpaccess.log, httperror.log, httpaccess-vpn.log und httperror-vpn.log.
      • NSMGMT: umfasst ns.log und notice.log.
      • NONE: Keines der Protokolle wird exportiert.

    • analyticsAuthToken: Geben Sie das Authentifizierungstoken an, das in den Autorisierungsheader mit dem Präfix „Splunk“ aufgenommen werden soll, wenn Protokolle an Splunk gesendet werden. Dieses Token ist das Authentifizierungstoken, das auf dem Splunk-Server bei der Konfiguration des HTTP-Event-Collectors erstellt wurde.

    • analyticsEndpointContentType: Format der Logs.

    • analyticsEndpointMetadata: Endpunktspezifische Metadaten.

    • analyticsEndpointUrl: Ort auf dem Endpunkt für den Export von Protokollen.

    Hinweis:

    Sie können die Parameter des Zeitreihenanalyseprofils mithilfe des Befehls set analytics profile ändern.

  3. Überprüfen Sie die Konfiguration des Analyseprofils mit dem Befehl show analytics profile.

    # show analytics profile splunkexport
1)    Name: audit_profile
      Collector: splunk
      Profile-type: timeseries
            Output Mode: avro
            Metrics: DISABLED
              Schema File: schema.json
              Metrics Export Frequency: 30
            Events: DISABLED
            Auditlog: DISABLED
            Serve mode: Push
       Authentication Token: <auth-tocken> 
       Endpoint URL: /services/collector/event
       Endpoint Content-type: Application/json
       Endpoint Metadata: Event:
       Reference Count: 0
       Managementlog: ACCESS

Sobald die Konfiguration erfolgreich ist, werden die Management-Logs als HTTP-Payloads an Splunk gesendet, und Sie können sie auf der Benutzeroberfläche der Splunk-Anwendung einsehen.

Export von Managementprotokollen in die Splunk-Serverkonfiguration konfigurieren

Um den Export von Verwaltungsprotokollen zu konfigurieren, müssen Sie die folgenden Schritte ausführen:

  1. Konfigurieren Sie den Syslog-Port auf Splunk.
  2. Erstellen Sie eine Audit-Syslog-Aktion auf NetScaler mit der Management-Log-Option.
  3. Erstellen Sie eine Syslog-Audit-Richtlinie mit der Syslog-Aktion.
  4. Binden Sie die Syslog-Audit-Richtlinie an die globale Systementität, um die Protokollierung aller NetScaler-Systemereignisse zu ermöglichen.

Splunk als externen Syslog-Server konfigurieren

Sie können Management-Logs an Splunk weiterleiten, indem Sie einen externen Syslog-Server auf Splunk konfigurieren.

Informationen zur Konfiguration des Syslog-Ports finden Sie in der Splunk-Dokumentation. Nachdem Sie den Syslog-Port konfiguriert haben, speichern Sie ihn als Referenz. Sie müssen diesen Port bei der Konfiguration von audit syslogaction auf NetScaler angeben.

Konfigurieren Sie die Syslog-Auditaktion auf NetScaler

Verwenden Sie den folgenden Befehl, um eine Syslog-Auditaktion auf NetScaler mit aktivierten Verwaltungsprotokollen zu konfigurieren.

    add audit syslogAction <name> \(<serverIP> \[-serverPort <port>] -logLevel <logLevel> ... \[-managementlog <managementlog> ...] ... \[-managementloglevel <managementloglevel> ...]\[-transport \( TCP | UDP )])

Beispiel:

    add audit syslogAction test 10.106.186.102 -serverPort 514 -logLevel ALL -managementlog SHELL NSMGMT -managementloglevel ALL -transport TCP

In dieser Konfiguration:

  • name: Name der Syslog-Aktion
  • serverIP: IP-Adresse des Syslog-Servers.
  • serverPort: Port, auf dem der Syslog-Server Verbindungen akzeptiert.
  • logLevel: Protokollebene prüfen.
  • managementlog: Typen von Verwaltungsprotokollen, die Sie exportieren müssen.
  • managementloglevel: Management-Log-Levels, die Sie für den Export festlegen möchten.
  • transport: Der Transporttyp, der zum Senden von Audit-Logs an den Syslog-Server verwendet wird.

Hinweis:

Wenn Verwaltungsprotokolle aktiviert sind, unterstützt die SyslogAction-Konfiguration nur die Server-IP-Adresse und die Portkonfiguration. Domänenbasierter Dienst (DBS) und Lastausgleichskonfigurationen für virtuelle Servernamen werden nicht unterstützt.

Für Load Balancing-Verwaltungsprotokolle, die über mehrere externe Syslog-Server (z. B. Splunk-Syslog-Server oder Endpunkte) exportiert werden, können Sie die folgende Beispielkonfiguration verwenden:

add service syslog_server <server_ip> UDP <port>

add service syslog_server1 1.3.4.4 UDP 514

add service syslog_server2 1.3.4.5 UDP 514

add lb vserver lb1 UDP <lb_vip> <lb_port>

bind lb vserver lb1 syslog_server1

bind lb vserver lb1 syslog_server2

Konfigurieren Sie in SyslogAction Folgendes:

add syslogAction sys1 <server_ip> -serverPort <server_port> -transport UDP -loglevel <loglevel>

add syslogAction sys1 lb_vip -serverPort lb_port -transport UDP -loglevel <loglevel>

Syslog-Audit-Richtlinie konfigurieren

Verwenden Sie den folgenden Befehl, um eine Syslog-Audit-Richtlinie hinzuzufügen:

    add audit syslogPolicy <name> TRUE <syslogAction>

Beispiel:

    add audit syslogPolicy test-policy TRUE test

Bind-Audit-Log-Richtlinie

Verwenden Sie den folgenden Befehl, um die Syslog-Audit-Log-Richtlinie an den Bindpunkt zu binden SYSTEM_GLOBAL

    bind audit syslogGlobal <policyname> -globalBindType SYSTEM_GLOBAL

Beispiel: Bindungsaudit syslogGlobal test-policy -GlobalBindType SYSTEM_GLOBAL

Sobald die Konfiguration erfolgreich ist, werden die Management-Logs als Syslog-Payloads an Splunk gesendet, und Sie können sie auf der Benutzeroberfläche der Splunk-Anwendung einsehen.

Weitere Informationen

Dieser Abschnitt enthält weitere Informationen zu den drei Arten von Protokollen, die in diesem Thema beschrieben werden:

  • shell-Protokolle: umfassen bash.log und sh.log.
  • access Logs: Beinhaltet httpaccess.loghttperror.log,httpaccess-vpn.log, httperror-vpn.log, vpndebug.log, nsvpn.log, und auth.log.
  • nsmgmt-Protokolle: umfassen notice.log und ns.log (schließt nur Protokolle ein, die nichts mit der Paketengine zu tun haben).
Managementprotokolle direkt von NetScaler nach Splunk exportieren
February 12, 2024
Beitrag von: 
C
February 12, 2024
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.