In Citrix ADC 13.0
In Citrix ADC
In All products
Documentation produit
In Citrix ADC 13.0
In Citrix ADC
In All products
Citrix ADC
Current Release 12.1 11.1
Voir PDF

Configuration de l’appliance Citrix ADC pour la journalisation d’audit

January 21, 2021
Contribution de: 
C

La journalisation des audits affiche les informations d’état de différents modules afin qu’un administrateur puisse voir l’historique des événements dans l’ordre chronologique. Les principales composantes d’un cadre de vérification sont les « mesures d’audit », la « politique d’audit ». « Action d’audit » décrit les informations de configuration du serveur d’audit, tandis que la « stratégie d’audit » lie une entité de liaison à une « action d’audit ». Les stratégies d’audit utilisent le cadre « Classic Policy Engine » (CPE) ou le cadre Progress Integration (PI) pour lier « action d’audit » aux « entités de liaison globale du système ».

Toutefois, les cadres stratégiques diffèrent les uns des autres en ce qui concerne la liaison des politiques de journal d’audit aux entités globales. Auparavant, le module d’audit ne supportait que les expressions classiques, mais maintenant il prend en charge les expressions de stratégie classiques et avancées. Actuellement, l’expression avancée peut lier des stratégies de journal d’audit uniquement aux entités globales du système.

Remarque

Lorsque vous liez une stratégie à des entités globales, vous devez la lier à une entité globale système de la même expression. Par exemple, vous ne pouvez pas lier une stratégie classique à une entité globale avancée ou lier une stratégie avancée à une entité globale classique.

En outre, vous ne pouvez pas lier à la fois la stratégie classique de journal d’audit et la stratégie avancée de journal d’audit à un serveur virtuel d’équilibrage de charge.

Configuration des stratégies de journal d’audit dans une expression de stratégie classique

La configuration de la journalisation d’audit dans la stratégie classique comporte les étapes suivantes :

  1. Configuration d’une action de journal d’audit. Vous pouvez configurer une action d’audit pour différents serveurs et différents niveaux de journal. ‘Audit action’ décrit les informations de configuration du serveur d’audit, tandis que ‘audit policy’ lie une entité liée à une ‘audit action’. Par défaut, SYSLOG et NSLOG utilisent uniquement TCP pour transférer les informations de journal vers les serveurs de journaux. TCP est plus fiable que UDP pour le transfert de données complètes. Lorsque vous utilisez TCP pour SYSLOG, vous pouvez définir la limite de tampon sur l’appliance Citrix ADC pour stocker les journaux. Après quoi les journaux sont envoyés au serveur SYSLOG.
  2. Configuration de la stratégie de journal d’audit. Vous pouvez configurer des stratégies SYSLOG pour consigner les messages sur un serveur SYSLOG ou une stratégie NSLOG pour consigner les messages sur un serveur NSLOG. Chaque stratégie inclut une règle identifiant les messages à enregistrer, ainsi qu’une action SYSLOG ou NS LOG.
  3. Liaison des stratégies de journal d’audit aux entités globales. Vous devez lier globalement les stratégies de journal d’audit aux entités globales telles que SYSTEM, VPN, Citrix ADC AAA, etc. Vous pouvez le faire pour activer la journalisation de tous les événements système Citrix ADC. En définissant le niveau de priorité, vous pouvez définir l’ordre d’évaluation de la journalisation du serveur d’audit. La priorité 0 est la plus élevée et est évaluée en premier. Plus le numéro de priorité est élevé, plus la priorité de l’évaluation est faible.

Chacune de ces étapes est expliquée dans les sections suivantes.

Configuration de l’action du journal d’audit

Pour configurer l’action SYSLOG dans l’infrastructure de stratégie avancée à l’aide de l’interface de ligne de commande.

Remarque

L’appliance Citrix ADC vous permet de configurer une seule action SYSLOG sur l’adresse IP du serveur SYSLOG et le port. L’appliance ne vous permet pas de configurer plusieurs actions SYSLOG sur la même adresse IP et le même port du serveur.

Une action syslog contient une référence à un serveur syslog. Il spécifie les informations à consigner et mentionne comment consigner ces informations.

À l’invite de commandes, tapez les commandes suivantes pour définir les paramètres et vérifier la configuration :

-  add audit syslogAction <name> <serverIP> [-serverPort <port>] -logLevel <logLevel> [-dateFormat ( MMDDYYYY | DDMMYYYY )] [-transport ( TCP | UDP )]`
-  show audit syslogAction [<name>]

Pour configurer l’action NSLOG dans l’infrastructure de stratégie avancée à l’aide de l’interface de ligne de commande

Une action de journal ns contient une référence à un serveur nslog. Il spécifie les informations à consigner et mentionne comment consigner ces informations.

À l’invite de commandes, tapez les commandes suivantes pour définir les paramètres et vérifier la configuration :

-  add audit nslogAction <name> <serverIP> [-serverPort <port>] -logLevel <logLevel> [-dateFormat ( MMDDYYYY | DDMMYYYY )]
-  show audit nslogAction [<name>]

Configuration des stratégies de journal d’audit

Pour configurer les stratégies de journal d’audit dans l’infrastructure de stratégie classique à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

-  add audit syslogpolicy <name> <-rule> <action>
-  add audit nslogpolicy <name> < rule> <action>rm audit nslogpolicy <name>show audit nslogpolicy [<name>]set audit nslogpolicy <name>  [-rule <expression>] [-action <name>]

Liaison des stratégies syslog d’audit à l’audit syslog global

Pour lier la stratégie de journal d’audit dans le cadre de stratégie classique à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

bind audit syslogGlobal <policyName> [-globalBindType <globalBindType

unbind audit syslogGlobal <policyName>[-globalBindType <globalBindType>]

Configuration des stratégies de journal d’audit à l’aide de l’expression de stratégie avancée

La configuration de la journalisation d’audit dans la stratégie avancée comprend les étapes suivantes :

  1. Configuration d’une action de journal d’audit. Vous pouvez configurer une action d’audit pour différents serveurs et différents niveaux de journal. ‘Audit action’ décrit les informations de configuration du serveur d’audit, tandis que ‘audit policy’ lie une entité liée à une ‘audit action’. Par défaut, SYSLOG et NSLOG utilisent uniquement TCP pour transférer les informations de journal vers les serveurs de journaux. TCP est plus fiable que UDP pour le transfert de données complètes. Lorsque vous utilisez TCP pour SYSLOG, vous pouvez définir la limite de tampon sur l’appliance Citrix ADC pour stocker les journaux. Après quoi les journaux sont envoyés au serveur SYSLOG.
  2. Configuration de la stratégie de journal d’audit. Vous pouvez configurer des stratégies SYSLOG pour consigner les messages sur un serveur SYSLOG ou une stratégie NSLOG pour consigner les messages sur un serveur NSLOG. Chaque stratégie inclut une règle identifiant les messages à enregistrer, ainsi qu’une action SYSLOG ou NS LOG.
  3. Liaison des stratégies de journal d’audit aux entités globales. Vous devez lier globalement les stratégies du journal d’audit à l’entité globale SYSTEM pour activer la journalisation de tous les événements système Citrix ADC. En définissant le niveau de priorité, vous pouvez définir l’ordre d’évaluation de la journalisation du serveur d’audit. La priorité 0 est la plus élevée et est évaluée en premier. Plus le numéro de priorité est élevé, plus la priorité de l’évaluation est faible.

Remarque

L’appliance Citrix ADC évalue toutes les stratégies qui sont liées à true.

Configuration de l’action du journal d’audit

Pour configurer l’action syslog dans l’infrastructure de stratégie avancée à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour définir les paramètres et vérifier la configuration :

-  add audit syslogAction <name> <serverIP> [-serverPort <port>] -logLevel <logLevel> [-dateFormat ( MMDDYYYY | DDMMYYYY )] [-transport ( TCP | UDP )]
-  show audit syslogAction [<name>]

Pour configurer l’action NSLOG dans l’infrastructure de stratégie avancée à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour définir les paramètres et vérifier la configuration :

-  add audit nslogAction <name> <serverIP> [-serverPort <port>] -logLevel <logLevel> [-dateFormat ( MMDDYYYY | DDMMYYYY )]
-  show audit nslogAction [<name>]

Configuration des stratégies de journal d’audit

Pour ajouter une action d’audit syslog à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

    add audit syslogAction <name> (<serverIP> | ((<serverDomainName>[-domainResolveRetry <integer>])
    | -lbVserverName <string>))[-serverPort <port>] -logLevel <logLevel>[-dateFormat <dateFormat>]
     [-logFacility <logFacility>][-tcp ( NONE | ALL )] [-acl ( ENABLED | DISABLED )]
    [-timeZone ( GMT_TIME | LOCAL_TIME )][-userDefinedAuditlog ( YES | NO )]
     [-appflowExport ( ENABLED | DISABLED )] [-lsn ( ENABLED | DISABLED )][-alg ( ENABLED | DISABLED )]
    [-subscriberLog ( ENABLED | DISABLED )][-transport ( TCP | UDP )] [-tcpProfileName <string>][-maxLogDataSizeToHold

Exemple

    > add audit syslogaction audit-action1 10.102.1.1 -loglevel INFORMATIONAL -dateformat MMDDYYYY
    > add audit nslogAction nslog-action1 10.102.1.3 -serverport 520 -loglevel INFORMATIONAL -dateFormat MMDDYYYY
    > add audit syslogpolicy syslog-pol1 TRUE audit-action1
    > add audit nslogPolicy nslog-pol1 TRUE nslog-action1
    > bind system global nslog-pol1 -priority 20

Pour ajouter une action d’audit nslog à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

    add audit nslogAction <name> (<serverIP> | (<serverDomainName>[-domainResolveRetry <integer>])) [-serverPort <port>]       -logLevel <logLevel> ... [-dateFormat <dateFormat>][-logFacility <logFacility>] [-tcp ( NONE | ALL )][-acl ( ENABLED | DISABLED )] [-timeZone ( GMT_TIME | LOCAL_TIME )][-userDefinedAuditlog ( YES | NO )][-appflowExport ( ENABLED | DISABLED )] [-lsn ( ENABLED | DISABLED )][-alg ( ENABLED | DISABLED )] [-subscriberLog ( ENABLED | DISABLED )]`

Liaison de stratégies de journal d’audit aux entités globales

Pour lier la stratégie d’audit-log syslog dans le cadre de stratégie avancé à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

bind audit syslogGlobal <policyName> [-globalBindType <globalBindType

unbind audit syslogGlobal <policyName>[-globalBindType <globalBindType>]

Configuration de la stratégie de journal d’audit à l’aide de l’interface graphique

  1. Accédez à Configuration > Système > Audit > Syslog .

Audit Syslog

  1. Sélectionnez l’onglet Serveurs .
  2. Cliquez sur Ajouter.
  3. Dans la page Créer un serveur d’audit, remplissez les champs pertinents, puis cliquez sur Créer.
  4. Pour ajouter la stratégie, sélectionnez l’onglet Stratégies, puis cliquez sur Ajouter.

  5. Dans la page Créer une stratégie Syslog d’audit, remplissez les champs pertinents, puis cliquez sur Créer .

    Politique Syslog

  6. Pour lier la stratégie globalement, sélectionnez Liaisons globales de stratégie avancées dans la liste déroulante. Sélectionnez la politique best_syslog_policy_ever. Cliquez sur Sélectionner.
  7. Dans la liste déroulante, sélectionnez le point de liaison comme SYSTEM_GLOBAL et cliquez sur Liaison, puis cliquez sur Terminé .

Configuration de la journalisation basée sur des stratégies

Vous pouvez configurer la journalisation basée sur des stratégies pour les stratégies de réécriture et de répondeur. Les messages d’audit sont ensuite enregistrés dans un format défini lorsque la règle d’une stratégie est évaluée à TRUE. Pour configurer la journalisation basée sur des stratégies, vous configurez une action de message d’audit qui utilise des expressions de syntaxe par défaut pour spécifier le format des messages d’audit. Et associez l’action à une politique. La stratégie peut être liée globalement ou à un serveur virtuel d’équilibrage de charge ou de commutation de contenu. Vous pouvez utiliser des actions de message d’audit pour consigner les messages à différents niveaux de journal, soit au format syslog uniquement, soit dans les deux formats syslog et nslog

Conditions préalables

  • L’option Messages de journal configurables par l’utilisateur (UserDefinedAuditLog) est activée pour lors de la configuration du serveur d’actions d’audit auquel vous souhaitez envoyer les journaux dans un format défini.
  • La stratégie d’audit associée est liée au système global.

Configuration d’une action de message d’audit

Vous pouvez configurer des actions de message d’audit pour consigner les messages à différents niveaux de journal, soit au format syslog uniquement, soit dans les deux formats de journal syslog et nouveaux formats de journal ns. Les actions de message d’audit utilisent des expressions pour spécifier le format des messages d’audit.

Pour créer une action de message d’audit à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

add audit messageaction <name> <logLevel> <stringBuilderExpr> [-logtoNewnslog (YES|NO)] [-bypassSafetyCheck (YES|NO)]

add audit messageaction log-act1 CRITICAL '"Client:"+CLIENT.IP.SRC+" accessed "+HTTP.REQ.URL' -bypassSafetyCheck YES

Pour configurer une action de message d’audit à l’aide de l’interface graphique

Accédez à Système > Audit > Actions de messageet créez l’action de message d’audit.

Liaison d’une action de message d’audit à une stratégie

Après avoir créé une action de message d’audit, vous devez la lier à une stratégie de réécriture ou de réponse. (Pour plus d’informations sur la liaison des actions de message de journal à une stratégie de réécriture ou de répondeur, consultezRéécrire/fr-fr/citrix-adc/current-release/appexpert/responder.html[()]ouRépondeur/fr-fr/citrix-adc/current-release/appexpert/responder.html[] .)

Configuration de l’appliance Citrix ADC pour la journalisation d’audit
January 21, 2021
Contribution de: 
C
January 21, 2021
Contribution de: 
C

Dans cet article