ADC

Exportieren Sie Transaktionsprotokolle direkt von NetScaler nach Splunk

March 17, 2024

Beitrag von:

Sie können jetzt Transaktionsprotokolle von NetScaler auf branchenübliche Log-Aggregator-Plattformen wie Splunk exportieren. Das Transaktionslog zeichnet Ereignisse des Anwendungsdatenverkehrs auf dem NetScaler auf, z. B. HTTP-Anfragen und -Antworten, Verbindungsstart und -ende. Weitere Informationen zu Transaktionsprotokollen finden Sie unter AppFlow.

Sie können Transaktionsprotokolle im JSON-Format für verschiedene Einblicke wie Web Insight, Security, Gateway und HDX Insights exportieren. Um Transaktionsprotokolle nach Splunk zu exportieren, müssen Sie Splunk als HTTP-Server konfigurieren und den HTTP-Event-Collector verwenden, um Transaktionsprotokolle über HTTP (oder HTTPS) direkt von Ihrem NetScaler an die Splunk-Plattform zu senden. Mithilfe der Visualisierungstools von Splunk erhalten Sie aussagekräftige Einblicke in die exportierten Daten.

Hinweis:

Die IP-Adressen, die als Teil der Transaktionsprotokolle exportiert werden, werden im Dezimalformat statt im Standardformat angezeigt. Wenn Ihre NetScaler-IP-Adresse beispielsweise 10.102.154.153 lautet, wird dieselbe Adresse in den Transaktionsprotokollen auf Splunk als 174496409 angezeigt. Sie können die in Splunk verfügbaren integrierten Ausdrücke verwenden, um die IP-Adresse vom Dezimalformat in das Standardformat zu konvertieren.

Exportieren Sie Transaktionsprotokolle von NetScaler nach Splunk, der als HTTP-Server konfiguriert ist

Um den Export von Transaktionslogs zu konfigurieren, müssen Sie die folgenden Schritte ausführen:

Konfigurieren Sie einen HTTP-Event-Collector auf Splunk.
Erstellen Sie einen Collector-Service und ein Analyseprofil auf NetScaler.
Konfigurieren Sie einen HTTP-Event-Collector auf Splunk. Sie können Transaktionsprotokolle an Splunk weiterleiten, indem Sie einen HTTP-Event-Collector konfigurieren. Informationen zur Konfiguration des HTTP-Event-Collectors finden Sie in der Splunk-Dokumentation.

Nachdem Sie den HTTP-Event-Collector konfiguriert haben, kopieren Sie das Authentifizierungstoken und speichern Sie es als Referenz. Sie müssen dieses Token bei der Konfiguration des Analyseprofils auf NetScaler angeben.

Konfigurieren Sie das Analyseprofil auf NetScaler

Gehen Sie wie folgt vor, um NetScaler-Transaktionsprotokolle nach Splunk zu exportieren.

Erstellen Sie einen Collector-Service für Splunk.
```
add service <collector> <splunk-server-ip-address> <protocol> <port>
```
Beispiel:
```
add service splunk_service 10.102.34.155 HTTP 8088
```
In dieser Konfiguration:
- ip-address: IP-Adresse des Splunk-Servers.
- collector-name: Name des Collectors.
- protocol: Geben Sie das Protokoll als HTTP oder SSL an.
- port: Portnummer.
Erstellen Sie ein Analyseprofil.
```
add analytics profile `profile-name` -type <insight> -collectors `collector-name` -analyticsAuthToken `<auth-scheme> <authorization-parameters>` `-analyticsEndpointContentType` `application/json` -analyticsEndpointUrl `endpoint-url`
```
Beispiel:
```
add analytics profile transaction-log-profile -type webinsight -collectors -analyticsAuthToken "Splunk 1234-5678-12345" -analyticsEndpointContentType "application/json" -analyticsEndpointUrl "/services/collector/event"
```
Hinweis:

Die -allHttpHeaders Option wird für den Export von Splunk-Transaktionsprotokollen nicht unterstützt.

add analytics profile <profile-name> -type webinsight -allHttpHeaders

set analytics profile <profile-name> -type webinsight -allHttpHeaders

In dieser Konfiguration:
- insight: Arten von Erkenntnissen, die Sie exportieren können Die folgenden Optionen sind verfügbar:
  - Bot-Einblick
  - CI-Einblick
  - Gateway-Einblick
  - hdx insight
  - lsninsight
  - Einblick in die Sicherheit
  - tcpinsight
  - udpinsight
  - Videoeinblick
  - webInsight
- -AnalyticsAuthToken auth-scheme authorization-parameters: Geben Sie das Authentifizierungstoken an, das beim Senden von Protokollen an Splunk in den Autorisierungsheader mit dem Authentifizierungsschema „Splunk“ aufgenommen werden soll. Dieses Token ist das Authentifizierungstoken, das auf dem Splunk-Server bei der Konfiguration des HTTP-Event-Collectors erstellt wurde.
- analyticSendPointContentType: Der Content-Type-Header. Der fest codierte Wert ist application/json.
- analyticSendPointUrl: Der Pfad zu HEC auf Splunk (/services/collector/event oder /services/collector).
  
  HINWEIS:
  
  Sie können die Analytics-Profilparameter mit dem set analytics profile Befehl ändern.

Überprüfen Sie die Konfiguration des Analytics-Profils mit dem Befehl show analytics profile.

> sh analytics profile 
    
ns_analytics_default_http_profile
1)      Name: ns_analytics_default_http_profile
        Collector: splunk
        Profile-type: webinsight
                Page Tracking: DISABLED
                Client Side Measurements: DISABLED
                URL Logging: ENABLED
                Host Header Logging: ENABLED
                Method Logging: ENABLED
                Cookie Header Logging: DISABLED
                Referer Header Logging: DISABLED
                User Agent Logging: DISABLED
                Content Type Logging: DISABLED
                Authorization Header Logging: DISABLED
                Via Header Logging: DISABLED
                Location Header Logging: DISABLED
                URL Category Logging: DISABLED
                Log All HTTP Headers: DISABLED
                X-Forwarded-For Header Logging: DISABLED
                Set-Cookie Header Logging: DISABLED
                Set-Cookie2 Header Logging: DISABLED
                Domain Name Logging: DISABLED
                URL-Query Logging: DISABLED
                Integrated Cache Logging: DISABLED
                gRPC Status Logging: DISABLED
                API Spec Info Export Logging: DISABLED
        Authentication Token:
        Endpoint URL: /services/collector/event
        Endpoint Content-type: text/json
        Reference Count: 1
        Managementlog: NONE

Nach erfolgreicher Konfiguration werden Transaktionen basierend auf dem Datenverkehr protokolliert und auf Splunk nach HEC exportiert.

Beispielausgaben

Dieser Abschnitt enthält Beispielausgaben für verschiedene Transaktionslogs.

Beispielausgabe eines HTTP-Transaktionsprotokolls

Im Folgenden finden Sie eine Beispielausgabe für das HTTP-Transaktionslog.

{
    appName: VS1
    clientMss: 1460
    clntFastRetxCount: 0
    clntTcpJitter: 0
    cintTcpPacketsRetransmited: 0
    clntTcpRtoCount: 0
    clntTcpZeroWindowCount: 0
    cltDstIpv4Address: 174496411
    cltIpv4Address: 174496407
    connEndTimestamp: 0
    connStartTimestamp: 7329468222993076980
    exportingProcessId: 0
    httpRegHost: 10.102.154.155
    httpReqMethod: GET
    httpReqUrl: /big.html
    httpRspLen: 114380
    httpRspStatus: 200
    mainPageCoreId: 0
    mainPageId: 0
    nsPartitionId: 0
    observationPointId: 174496409
    originRspLen: 0
    srvrIcpPacketsRetransmited: 0
    srvrTcpZeroWindowCount: 0
    svrDstIpv4Address: 174496415
    svrIpv4Address: 174496408
    tepSrvrConnRstCode: 0
    transClntRTT: 0
    transCltDstPort: 20480
    transCltFlowEndUsecRx: 7329468222993084980
    transCltFlowEndUsecTx: 7329468222993084980
    transCltFlowStartUsecRx: 7329468222993076980
    transCltFlowStartUsecTx: 7329468222993077984
    transCltSrcPort: 60315
    transCltTotRx0ctCnt: 1766
    transCltTotTx0ctCnt: 117580
    transSrvDstPort: 36895
    transSrvSrcPort: 15213
    transSrvrRTT: 0
    transSvrFlowEndUsecRx: 7329468222993084980
    transSvrFlowEndUsecTx: 7329468222993084980
    transSvrFlowStartUsecRx: 7329468222993077984
    transSvrFlowStartUsecTx: 0
    transSvrTotRx0ctCnt: 117580
    transSvrTotTx0ctCnt: 1766
    transactionId: 4890
}

Beispielausgabe des TCP-Transaktionsprotokolls

Im Folgenden finden Sie eine Beispielausgabe für das TCP-Transaktionsprotokoll.

{
    appName: vs1
    clientConnEndTimestamp: 7333165210582386064
    clientConnStartTimestamp: 7333165210582386054
    clientMss: 1460
    clntFastRetxCount: 0
    clntTcpJitter: 0
    clntTcpPacketsRetransmited: 0
    clntTcpRtoCount: 0
    clntTcpZeroWindowCount: 0
    cltDstIpv4Address: 174496411
    cltDstPort: 20480
    cltIpv4Address: 174496407
    cltSrcPort: 42939
    connectionChainHopCount: 0
    exportingProcessId: 0
    nsPartitionId: 0
    observationPointId: 174496409
    serverConnEndTimestamp: 7333165201992708470
    serverConnStartTimestamp: 7333165201992708459
    srvDstPort: 36895
    srvSrcPort: 51973
    srvrTcpPacketsRetransmited: 0
    srvrTcpZeroWindowCount: 0
    svrDstIpv4Address: 174496415
    svrIpv4Address: 174496408
    tcpClntConnRstCode: 0
    tcpSrvrConnRstCode: 0
    transClntRTT: 0
    transCltTotRxOctCnt: 208
    transCltTotTxOctCnt: 331
    transSrvrRTT: 0
    transSvrTotRxOctCnt: 331
    transSvrTotTxOctCnt: 208
    transactionId: 330
    vlanNumber: 1
}

Beispielausgabe eines SSL-Transaktionsprotokolls

Im Folgenden finden Sie eine Beispielausgabe für das SSL-Transaktionsprotokoll.

{
    appName: sslvs
    clientConnEndTimestamp: 0
    clientConnStartTimestamp: 7333182669624439854
    clientMss: 1460
    clntFastRetxCount: 0
    clntTcpJitter: 0
    clntTcpPacketsRetransmited: 0
    clntTcpRtoCount: 0
    clntTcpZeroWindowCount: 0
    cltDstIpv4Address: 174496411
    cltDstPort: 47873
    cltIpv4Address: 174496407
    cltSrcPort: 17499
    connectionChainHopCount: 0
    exportingProcessId: 0
    httpContentType: text/html
    httpReqHost: 10.102.154.155
    httpReqMethod: GET
    httpReqUrl: /index.html
    httpReqUserAgent: curl/7.69.1
    httpRspLen: 291
    httpRspStatus: 200
    nsPartitionId: 0
    observationPointId: 174496409
    originRspLen: 0
    serverConnEndTimestamp: 0
    serverConnStartTimestamp: 7333182665330184556
    srvDstPort: 36895
    srvSrcPort: 34802
    srvrTcpPacketsRetransmited: 0
    srvrTcpZeroWindowCount: 0
    sslCipherValueBE: 0
    sslCipherValueFE: 50331701
    sslClientCertSizeBE: 0
    sslClientCertSizeFE: 0
    sslClntCertSigHashBE: 0
    sslClntCertSigHashFE: 0
    sslFLagsBE: 0
    sslFLagsFE: 1096
    sslServerCertSizeBE: 0
    sslServerCertSizeFE: 4096
    sslSessionIDBE: 0
    sslSessionIDFE: 2433458443
    sslSigHashAlgBE: 0
    sslSigHashAlgFE: 0
    sslSrvrCertSigHashBE: 0
    sslSrvrCertSigHashFE: 668
    svrDstIpv4Address: 174496415
    svrIpv4Address: 174496408
    tcpClntConnRstCode: 0
    tcpSrvrConnRstCode: 0
    transClntRTT: 0
    transCltFlowEndUsecRx: 7333182669624447854
    transCltFlowEndUsecTx: 7333182669624446854
    transCltFlowStartUsecRx: 7333182669624439854
    transCltFlowStartUsecTx: 7333182669624439854
    transCltTotRxOctCnt: 1501
    transCltTotTxOctCnt: 2223
    transSrvrRTT: 0
    transSvrFlowEndUsecRx: 7333182669624446854
    transSvrFlowEndUsecTx: 7333182669624446854
    transSvrFlowStartUsecRx: 7333182669624446854
    transSvrFlowStartUsecTx: 0
    transSvrTotRxOctCnt: 331
    transSvrTotTxOctCnt: 168
    transactionId: 2640
    vlanNumber: 1
}

Beispielausgabe Web Insight-Transaktionsprotokolls

Im Folgenden finden Sie eine Beispielausgabe für das Web Insight-Transaktionsprotokoll.

{
    appName: vs1
    clientConnEndTimestamp: 0
    clientConnStartTimestamp: 7333336201820249485
    clientMss: 1460
    clntFastRetxCount: 0
    clntTcpJitter: 0
    clntTcpPacketsRetransmited: 0
    clntTcpRtoCount: 0
    clntTcpZeroWindowCount: 0
    cltDstIpv4Address: 174496411
    cltDstPort: 20480
    cltIpv4Address: 174758625
    cltSrcPort: 46824
    connectionChainHopCount: 0
    exportingProcessId: 0
    httpContentType: text/html
    httpReqHost: 10.102.154.155
    httpReqMethod: GET
    httpReqUrl: /
    httpRspLen: 291
    httpRspStatus: 200
    nsPartitionId: 0
    observationPointId: 174496409
    originRspLen: 0
    serverConnEndTimestamp: 0
    serverConnStartTimestamp: 7333336201820250487
    srvDstPort: 36895
    srvSrcPort: 6465
    srvrTcpPacketsRetransmited: 0
    srvrTcpZeroWindowCount: 0
    svrDstIpv4Address: 174496415
    svrIpv4Address: 174496408
    tcpClntConnRstCode: 0
    tcpSrvrConnRstCode: 0
    transClntRTT: 0
    transCltFlowEndUsecRx: 7333336201820251488
    transCltFlowEndUsecTx: 7333336201820251488
    transCltFlowStartUsecRx: 7333336201820249485
    transCltFlowStartUsecTx: 7333336201820250487
    transCltTotRxOctCnt: 190
    transCltTotTxOctCnt: 371
    transSrvrRTT: 0
    transSvrFlowEndUsecRx: 7333336201820251488
    transSvrFlowEndUsecTx: 7333336201820250487
    transSvrFlowStartUsecRx: 7333336201820250487
    transSvrFlowStartUsecTx: 7333336201820250487
    transSvrTotRxOctCnt: 371
    transSvrTotTxOctCnt: 202
    transactionId: 11218
    vlanNumber: 1
}

Beispiel-Dashboards für Transaktionsprotokolle

Die folgenden Dashboards, die auf Splunk verfügbar sind, enthalten die Daten zu Transaktionsprotokollen:

NetScaler HTTP Insight-Dashboard
NetScaler SSL Insight-Dashboard
NetScaler TCP Insight-Dashboard

Weitere Informationen finden Sie unter Beispiel-Dashboards auf Splunk.

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

War dieser Artikel hilfreich?

Exportieren Sie Transaktionsprotokolle direkt von NetScaler nach Splunk

March 17, 2024

Beitrag von:

March 17, 2024

Beitrag von:

In diesem Artikel

Exportieren Sie Transaktionsprotokolle von NetScaler nach Splunk, der als HTTP-Server konfiguriert ist
Konfigurieren Sie das Analyseprofil auf NetScaler
Beispielausgaben
Beispiel-Dashboards für Transaktionsprotokolle

War dieser Artikel hilfreich?