Log-Forwarder

Viele Wirespeed-Integrationen nehmen Protokolle von Firewalls, Netzwerkgeräten und anderen Quellen über einen Forwarder entgegen. Nachdem Sie die Integration hinzugefügt haben, bereitet Wirespeed diesen Forwarder vor und zeigt die benötigten Verbindungsdetails an.

Forwarder einrichten

Melden Sie sich bei Wirespeed an und navigieren Sie zu Integrationen > Integration hinzufügen
Wählen Sie die Integration für Ihren Anbieter oder Ihre Protokollquelle und klicken Sie auf Integrieren
Legen Sie einen Quellnamen fest, damit Sie mehrere Instanzen desselben Anbieters unter Integrationen unterscheiden können. Fügen Sie für jede Firewall eine eigene Integration hinzu; siehe Wann benötige ich mehrere Forwarder?
Wirespeed bereitet den Forwarder vor, nachdem die Integration hinzugefügt wurde
Wenn Sie auf der Integrationsseite bleiben, öffnet sich Forwarder-Details automatisch, sobald die Einrichtung abgeschlossen ist
Kopieren Sie die dort angezeigte IP-Adresse oder Domain und den bzw. die Listener-Ports
Konfigurieren Sie Ihren Anbieter oder Ihre Quelle so, dass Protokolle mit diesen Angaben gesendet werden
Prüfen Sie, ob die Protokolle unter Ereignisse angezeigt werden

Auf der Seite der jeweiligen Integration finden Sie alle anbieterspezifischen Schritte, Protokolloptionen oder Formate. Um zu prüfen, was Ihr Forwarder empfängt, fehlende Protokolle und Forwarder-Fehler zu beheben oder herauszufinden, warum die Integration Instabil oder Fehlerhaft ist, verwenden Sie den Tab Datennutzung der Integration. Siehe Datennutzung des Forwarders.

Die Verbindungsdetails verstehen

Forwarder-Details zeigt eine IP-Adresse oder Domain und einen oder mehrere Listener-Ports an. Für jeden Listener wird außerdem angezeigt, ob seine Verbindung TLS-verschlüsselt ist (TLS: Aktiviert) oder nicht (TLS: Deaktiviert). Ihre Geräte senden Protokolle an dieses Ziel. Der Port bestimmt, zu welcher Wirespeed-Integration die Protokolle gehören, sodass sie unter Ereignisse beim richtigen Anbieter erscheinen.

Syslog über TLS

Aktivieren Sie TLS auf dem TCP-Socket aktivieren nur, wenn der Anbieter TCP-Syslog über TLS senden wird. Wirespeed verwendet ein Zertifikat von Let’s Encrypt. Browser vertrauen dieser Kette bereits. Viele Firewalls und Appliances tun dies nicht und benötigen möglicherweise eine als Trustpoint importierte CA, bevor sich sicheres Syslog verbinden kann.

Root-CA

Importieren Sie beide Let’s-Encrypt-Root-Zertifikate als vertrauenswürdige CAs (Trustpoints) auf dem Gerät:

Let’s-Encrypt-Ketten können bei einem der beiden Root-Zertifikate enden, und manche Appliances folgen dem kreuzsignierten Zertifikat in der Kette nicht. Wenn Sie beiden Root-Zertifikaten vertrauen, sind Zertifikatserneuerungen ohne weitere Änderungen abgedeckt. Verwenden Sie nach Möglichkeit Root-Zertifikate. Zwischenzertifizierungsstellen ändern sich häufiger; wenn Sie stattdessen eine davon installieren, müssen Sie das Gerät später möglicherweise erneut aktualisieren.

Zertifikatskette prüfen

Ersetzen Sie die Platzhalter durch die Domain und den TLS-Port aus den Forwarder-Details. Der Befehl gibt Subject und Issuer jedes Zertifikats aus, das der Forwarder ausliefert:

echo Q | openssl s_client -connect <WIRESPEED_DOMAIN>:<PORT> \
  -servername <WIRESPEED_DOMAIN> -showcerts 2>/dev/null \
| awk '
  /-----BEGIN CERTIFICATE-----/ { n++; cert = "" }
  /-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/ { cert = cert $0 "\n" }
  /-----END CERTIFICATE-----/ {
    print "--- cert " n " ---"
    printf "%s", cert | "openssl x509 -noout -subject -issuer"
    close("openssl x509 -noout -subject -issuer")
  }
'

Beispielausgabe (die Zertifikate und Namen ändern sich mit der Zeit):

--- cert 1 ---
subject=CN = forwarder.example.com
issuer=C = US, O = Let's Encrypt, CN = YE1
--- cert 2 ---
subject=C = US, O = Let's Encrypt, CN = YE1
issuer=C = US, O = ISRG, CN = Root YE
--- cert 3 ---
subject=C = US, O = ISRG, CN = Root YE
issuer=C = US, O = Internet Security Research Group, CN = ISRG Root X2
--- cert 4 ---
subject=C = US, O = Internet Security Research Group, CN = ISRG Root X2
issuer=C = US, O = Internet Security Research Group, CN = ISRG Root X1

So lesen Sie die Ausgabe:

Der Issuer des letzten Zertifikats ist das Root-Zertifikat, das ein Gerät benötigt, das der vollständigen Kette folgt. In diesem Beispiel ist das ISRG Root X1.
Jedes ISRG Root X*, das als Issuer eines früheren Zertifikats erscheint, ist das Root-Zertifikat für Geräte, die vor dem kreuzsignierten Zertifikat anhalten. In diesem Beispiel ist das ISRG Root X2.
Wenn Sie nicht sicher sind, welches Ihr Gerät benötigt, importieren Sie beide.

Die ausgelieferte Kette kann sich bei einer Zertifikatserneuerung ändern. Verstehen Sie die Ausgabe oben als Beispiel, nicht als dauerhafte Beschreibung der Kette.

Vor der Gerätekonfiguration prüfen

Prüfen Sie von einem Arbeitsplatzrechner aus, ob ein Root-Zertifikat das Forwarder-Zertifikat validiert. Laden Sie die Root-PEM-Datei über die Links oben herunter (zum Beispiel isrgrootx1.pem) und führen Sie Folgendes aus:

openssl s_client -connect <WIRESPEED_DOMAIN>:<PORT> \
  -servername <WIRESPEED_DOMAIN> -verify_hostname <WIRESPEED_DOMAIN> \
  -CAfile isrgrootx1.pem -verify_return_error </dev/null

Eine erfolgreiche Prüfung endet mit Verify return code: 0 (ok). Bei einem Fehler erscheint eine Zeile verify error, zum Beispiel unable to get local issuer certificate. Wiederholen Sie den Befehl mit -CAfile isrgrootx2.pem, um das andere Root-Zertifikat zu prüfen; die Kette wird mit jedem der beiden validiert.

Zwischenzertifikatskette

Verwenden Sie diese nur, wenn das Gerät keinen Root-Trustpoint akzeptiert und die ausstellende CA verlangt. Ersetzen Sie die Platzhalter durch die Domain und den TLS-Port aus den Forwarder-Details:

echo Q | openssl s_client -connect <WIRESPEED_DOMAIN>:<PORT> \
  -servername <WIRESPEED_DOMAIN> -showcerts \
| awk '
  /-----BEGIN CERTIFICATE-----/ { n++; keep = (n > 1) }
  keep { print }
  /-----END CERTIFICATE-----/ { keep = 0 }
' > chain.pem

chain.pem enthält jedes Zertifikat, das der Forwarder nach seinem eigenen Zertifikat ausliefert: die Zwischenzertifizierungsstelle(n) und etwaige kreuzsignierte Zertifikate. Importieren Sie diese Datei auf dem Gerät. Wenn das Gerät nur ein Zertifikat pro Import akzeptiert, teilen Sie die Datei auf und importieren Sie die Zertifikate einzeln.

Zwischen- und kreuzsignierte Zertifikate ändern sich, wenn das Forwarder-Zertifikat erneuert wird. Wenn Sie sie importieren, müssen Sie nach einer Erneuerung die neuen importieren. Root-Zertifikate ändern sich weitaus seltener, deshalb ist der Import der Root-Zertifikate vorzuziehen.

Prüfungen der Zertifikatssperrung (CRL)

Wenn Ihre Firewall oder Appliance Prüfungen der Zertifikatssperrung (CRL) für das Zertifikat des Wirespeed-Forwarders durchführt, müssen Sie ausgehenden Zugriff auf die Domain *.c.lencr.org (zum Beispiel r13.c.lencr.org) über HTTP (TCP-Port 80) zulassen.

Wenn das Gerät *.c.lencr.org nicht über HTTP erreichen kann, schlägt die CRL-Prüfung fehl und die TLS-Verbindung zum Forwarder wird möglicherweise abgelehnt, sodass keine Protokolle ankommen. Fügen Sie *.c.lencr.org (HTTP) zur Zulassungsliste Ihrer Firewall hinzu oder deaktivieren Sie die CRL-Prüfung für den Trustpoint.

Fehlerbehebung

Wenn TLS-Handshakes direkt nach einer Zertifikatserneuerung fehlschlagen, hat sich die ausgelieferte Kette geändert. Führen Sie den Befehl zur Prüfung der Kette erneut aus und importieren Sie jedes ISRG Root X*, das darin als Issuer erscheint. Der Import beider Root-Zertifikate verhindert dies in den meisten Fällen.

Wann benötige ich mehrere Forwarder?

Unterschiedliche Anbieter oder Dienste benötigen separate Integrationen und damit separate Forwarder. Beispielsweise erhalten eine SonicWall-Firewall und eine Cisco-Meraki-Bereitstellung jeweils eigene Verbindungsdetails. Mehrere Geräte desselben Anbieters, etwa mehrere FortiGate-Firewalls, sollten auf mehrere Integrationen verteilt werden. Fügen Sie pro Firewall (oder pro Hochverfügbarkeitspaar) eine Integration hinzu und geben Sie jeder einen eigenen Quellnamen, zum Beispiel FortiGate - Berlin Zentrale. Ein einzelner Forwarder kann bei hoher Ereignisrate seine Ressourcengrenzen erreichen. Eine Integration pro Firewall hält daher die Last auf jedem Forwarder gering.

Wenn Sie viele Firewalls haben und ausdrücklich nicht mehrere Forwarder einrichten möchten, wenden Sie sich an den Wirespeed-Support.

Erste Schritte

Chat Ops

Behebung

Bewertungen

Gruppen

Ausnahmen

Ereignisse

Assets

Einstellungen

Integrationen

Forwarder einrichten

Die Verbindungsdetails verstehen

Syslog über TLS

Root-CA

Zertifikatskette prüfen

Vor der Gerätekonfiguration prüfen

Zwischenzertifikatskette

Prüfungen der Zertifikatssperrung (CRL)

Fehlerbehebung

Wann benötige ich mehrere Forwarder?

​Forwarder einrichten

​Die Verbindungsdetails verstehen

​Syslog über TLS

​Root-CA

​Zertifikatskette prüfen

​Vor der Gerätekonfiguration prüfen

​Zwischenzertifikatskette

​Prüfungen der Zertifikatssperrung (CRL)

​Fehlerbehebung

​Wann benötige ich mehrere Forwarder?

Forwarder einrichten

Die Verbindungsdetails verstehen

Syslog über TLS

Root-CA

Zertifikatskette prüfen

Vor der Gerätekonfiguration prüfen

Zwischenzertifikatskette

Prüfungen der Zertifikatssperrung (CRL)

Fehlerbehebung

Wann benötige ich mehrere Forwarder?