> ## Documentation Index > Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt > Use this file to discover all available pages before exploring further. # Log-Forwarder > Protokolle über einen dedizierten Forwarder an Wirespeed senden Viele Wirespeed-Integrationen nehmen Protokolle von Firewalls, Netzwerkgeräten und anderen Quellen über einen **Forwarder** entgegen. Nachdem Sie die Integration hinzugefügt haben, bereitet Wirespeed diesen Forwarder vor und zeigt die benötigten Verbindungsdetails an. ## Forwarder einrichten 1. Melden Sie sich bei Wirespeed an und navigieren Sie zu Integrationen > [**Integration hinzufügen**](https://app.wirespeed.co/settings/integrations?tab=browse) 2. Wählen Sie die Integration für Ihren Anbieter oder Ihre Protokollquelle und klicken Sie auf **Integrieren** 3. Legen Sie einen **Quellnamen** fest, damit Sie mehrere Instanzen desselben Anbieters unter Integrationen unterscheiden können. Fügen Sie für jede Firewall eine eigene Integration hinzu; siehe [Wann benötige ich mehrere Forwarder?](#wann-benötige-ich-mehrere-forwarder) 4. Wirespeed bereitet den Forwarder vor, nachdem die Integration hinzugefügt wurde 5. Wenn Sie auf der Integrationsseite bleiben, öffnet sich **Forwarder-Details** automatisch, sobald die Einrichtung abgeschlossen ist 6. Kopieren Sie die dort angezeigte IP-Adresse oder Domain und den bzw. die Listener-Ports 7. Konfigurieren Sie Ihren Anbieter oder Ihre Quelle so, dass Protokolle mit diesen Angaben gesendet werden 8. Prüfen Sie, ob die Protokolle unter **Ereignisse** angezeigt werden Auf der Seite der jeweiligen Integration finden Sie alle anbieterspezifischen Schritte, Protokolloptionen oder Formate. Um zu prüfen, was Ihr Forwarder empfängt, fehlende Protokolle und Forwarder-Fehler zu beheben oder herauszufinden, warum die Integration **Instabil** oder **Fehlerhaft** ist, verwenden Sie den Tab **Datennutzung** der Integration. Siehe [Datennutzung des Forwarders](https://docs.wirespeed.co/de/integrations/forwarder-data-usage.md). ## Die Verbindungsdetails verstehen **Forwarder-Details** zeigt eine IP-Adresse oder Domain und einen oder mehrere Listener-Ports an. Für jeden Listener wird außerdem angezeigt, ob seine Verbindung TLS-verschlüsselt ist (**TLS: Aktiviert**) oder nicht (**TLS: Deaktiviert**). Ihre Geräte senden Protokolle an dieses Ziel. Der Port bestimmt, zu welcher Wirespeed-Integration die Protokolle gehören, sodass sie unter **Ereignisse** beim richtigen Anbieter erscheinen. ## Syslog über TLS Aktivieren Sie **TLS auf dem TCP-Socket aktivieren** nur, wenn der Anbieter TCP-Syslog über TLS senden wird. Wirespeed verwendet ein Zertifikat von Let's Encrypt. Browser vertrauen dieser Kette bereits. Viele Firewalls und Appliances tun dies nicht und benötigen möglicherweise eine als Trustpoint importierte CA, bevor sich sicheres Syslog verbinden kann. ### Root-CA Importieren Sie beide Let's-Encrypt-Root-Zertifikate als vertrauenswürdige CAs (Trustpoints) auf dem Gerät: * [ISRG Root X1](https://letsencrypt.org/certs/isrgrootx1.pem) * [ISRG Root X2](https://letsencrypt.org/certs/isrgrootx2.pem) Let's-Encrypt-Ketten können bei einem der beiden Root-Zertifikate enden, und manche Appliances folgen dem kreuzsignierten Zertifikat in der Kette nicht. Wenn Sie beiden Root-Zertifikaten vertrauen, sind Zertifikatserneuerungen ohne weitere Änderungen abgedeckt. Verwenden Sie nach Möglichkeit Root-Zertifikate. Zwischenzertifizierungsstellen ändern sich häufiger; wenn Sie stattdessen eine davon installieren, müssen Sie das Gerät später möglicherweise erneut aktualisieren. ### Zertifikatskette prüfen Ersetzen Sie die Platzhalter durch die Domain und den TLS-Port aus den Forwarder-Details. Der Befehl gibt Subject und Issuer jedes Zertifikats aus, das der Forwarder ausliefert: ```bash theme={null} echo Q | openssl s_client -connect : \ -servername -showcerts 2>/dev/null \ | awk ' /-----BEGIN CERTIFICATE-----/ { n++; cert = "" } /-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/ { cert = cert $0 "\n" } /-----END CERTIFICATE-----/ { print "--- cert " n " ---" printf "%s", cert | "openssl x509 -noout -subject -issuer" close("openssl x509 -noout -subject -issuer") } ' ``` Beispielausgabe (die Zertifikate und Namen ändern sich mit der Zeit): ```text theme={null} --- cert 1 --- subject=CN = forwarder.example.com issuer=C = US, O = Let's Encrypt, CN = YE1 --- cert 2 --- subject=C = US, O = Let's Encrypt, CN = YE1 issuer=C = US, O = ISRG, CN = Root YE --- cert 3 --- subject=C = US, O = ISRG, CN = Root YE issuer=C = US, O = Internet Security Research Group, CN = ISRG Root X2 --- cert 4 --- subject=C = US, O = Internet Security Research Group, CN = ISRG Root X2 issuer=C = US, O = Internet Security Research Group, CN = ISRG Root X1 ``` So lesen Sie die Ausgabe: * Der Issuer des **letzten** Zertifikats ist das Root-Zertifikat, das ein Gerät benötigt, das der vollständigen Kette folgt. In diesem Beispiel ist das ISRG Root X1. * Jedes `ISRG Root X*`, das als Issuer eines **früheren** Zertifikats erscheint, ist das Root-Zertifikat für Geräte, die vor dem kreuzsignierten Zertifikat anhalten. In diesem Beispiel ist das ISRG Root X2. * Wenn Sie nicht sicher sind, welches Ihr Gerät benötigt, importieren Sie beide. > [!NOTE] > > Die ausgelieferte Kette kann sich bei einer Zertifikatserneuerung ändern. Verstehen Sie die Ausgabe oben als Beispiel, nicht als dauerhafte Beschreibung der Kette. ### Vor der Gerätekonfiguration prüfen Prüfen Sie von einem Arbeitsplatzrechner aus, ob ein Root-Zertifikat das Forwarder-Zertifikat validiert. Laden Sie die Root-PEM-Datei über die Links oben herunter (zum Beispiel `isrgrootx1.pem`) und führen Sie Folgendes aus: ```bash theme={null} openssl s_client -connect : \ -servername -verify_hostname \ -CAfile isrgrootx1.pem -verify_return_error : \ -servername -showcerts \ | awk ' /-----BEGIN CERTIFICATE-----/ { n++; keep = (n > 1) } keep { print } /-----END CERTIFICATE-----/ { keep = 0 } ' > chain.pem ``` `chain.pem` enthält jedes Zertifikat, das der Forwarder nach seinem eigenen Zertifikat ausliefert: die Zwischenzertifizierungsstelle(n) und etwaige kreuzsignierte Zertifikate. Importieren Sie diese Datei auf dem Gerät. Wenn das Gerät nur ein Zertifikat pro Import akzeptiert, teilen Sie die Datei auf und importieren Sie die Zertifikate einzeln. > [!WARNING] > > Zwischen- und kreuzsignierte Zertifikate ändern sich, wenn das Forwarder-Zertifikat erneuert wird. Wenn Sie sie importieren, müssen Sie nach einer Erneuerung die neuen importieren. Root-Zertifikate ändern sich weitaus seltener, deshalb ist der Import der Root-Zertifikate vorzuziehen. ### Prüfungen der Zertifikatssperrung (CRL) Wenn Ihre Firewall oder Appliance Prüfungen der Zertifikatssperrung (CRL) für das Zertifikat des Wirespeed-Forwarders durchführt, müssen Sie ausgehenden Zugriff auf die Domain `*.c.lencr.org` (zum Beispiel `r13.c.lencr.org`) über **HTTP (TCP-Port 80)** zulassen. > [!WARNING] > > Wenn das Gerät `*.c.lencr.org` nicht über HTTP erreichen kann, schlägt die CRL-Prüfung fehl und die TLS-Verbindung zum Forwarder wird möglicherweise abgelehnt, sodass keine Protokolle ankommen. Fügen Sie `*.c.lencr.org` (HTTP) zur Zulassungsliste Ihrer Firewall hinzu oder deaktivieren Sie die CRL-Prüfung für den Trustpoint. ### Fehlerbehebung Wenn TLS-Handshakes direkt nach einer Zertifikatserneuerung fehlschlagen, hat sich die ausgelieferte Kette geändert. Führen Sie den Befehl zur [Prüfung der Kette](#zertifikatskette-prüfen) erneut aus und importieren Sie jedes `ISRG Root X*`, das darin als Issuer erscheint. Der Import beider Root-Zertifikate verhindert dies in den meisten Fällen. ## Wann benötige ich mehrere Forwarder? **Unterschiedliche Anbieter oder Dienste** benötigen separate Integrationen und damit separate Forwarder. Beispielsweise erhalten eine SonicWall-Firewall und eine Cisco-Meraki-Bereitstellung jeweils eigene Verbindungsdetails. **Mehrere Geräte desselben Anbieters**, etwa mehrere FortiGate-Firewalls, sollten auf mehrere Integrationen verteilt werden. Fügen Sie pro Firewall (oder pro Hochverfügbarkeitspaar) eine Integration hinzu und geben Sie jeder einen eigenen **Quellnamen**, zum Beispiel `FortiGate - Berlin Zentrale`. Ein einzelner Forwarder kann bei hoher Ereignisrate seine Ressourcengrenzen erreichen. Eine Integration pro Firewall hält daher die Last auf jedem Forwarder gering. > [!NOTE] > > Wenn Sie viele Firewalls haben und ausdrücklich nicht mehrere Forwarder einrichten möchten, wenden Sie sich an den Wirespeed-Support. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.