Zum Hauptinhalt springen

​
Einrichtung

Folgen Sie der gemeinsamen Anleitung Log-Forwarder, um pfSense / OPNsense hinzuzufügen und die Forwarder-Details zu öffnen (oder fragen Sie im Chat nach ip:port des Listeners).

​
pfSense

  1. Öffnen Sie Status > System Logs und wählen Sie den Tab Settings
  2. Stellen Sie unter General Logging Options Log Message Format auf syslog (RFC 5424, with RFC 3339 microsecond-precision timestamps). Seine Zeitstempel enthalten den UTC-Versatz, und es enthält den Hostnamen der Firewall. BSD (RFC 3164, default) wird ebenfalls unterstützt, enthält jedoch keinen Hostnamen, und seine Zeitstempel haben keine Zeitzone, sodass sie als UTC gelesen werden. Diese Einstellung ändert auch das Format der lokalen Protokolle der Firewall
  3. Aktivieren Sie unter Remote Logging Options die Option Enable Remote Logging
  4. Geben Sie den Listener als ip:port in Server 1 unter Remote log servers ein. pfSense sendet ausschließlich über UDP, verwenden Sie daher einen UDP-Listener. UDP-Syslog ist weder verschlüsselt noch authentifiziert; senden Sie es daher nur über ein vertrauenswürdiges Netzwerk oder einen VPN-Tunnel. Wenn die Daten über ein VPN gesendet werden müssen, setzen Sie Source Address auf diese Schnittstelle
  5. Wählen Sie unter Remote Syslog Contents Everything. Wenn Sie die Auswahl einschränken möchten, wählen Sie mindestens Firewall Events, DHCP Events und DNS Events
  6. Klicken Sie auf Save. Die Ereignisse werden in Kürze angezeigt
DHCP-Lease-Details werden aus dem Kea-DHCP-Server geparst, der unter System > Advanced > Networking > Server Backend ausgewählt wird. Zeilen des veralteten ISC-DHCP-Backends werden unter Sonstige gespeichert.

​
OPNsense

  1. Öffnen Sie System > Settings > Logging und wählen Sie den Tab Remote
  2. Klicken Sie auf +, um ein Ziel hinzuzufügen, und aktivieren Sie Enabled
  3. Setzen Sie Transport passend zu Forwarder-Details (UDP(4), TCP(4) oder TLS(4) bzw. die Variante (6) für einen IPv6-Listener) und geben Sie Hostname und Port des Listeners ein
  4. Lassen Sie Applications leer, um alles zu senden, oder wählen Sie mindestens filter (filterlog) und Ihren DHCP-Server: kea (kea-dhcp4), dhcpd (dhcpd) oder dnsmasq (dnsmasq)
  5. Aktivieren Sie RFC5424, klicken Sie auf Save und dann auf Apply
Wenn Forwarder-Details TLS: Aktiviert anzeigt, benötigt OPNsense zwei Dinge, bevor eine Verbindung hergestellt werden kann. Importieren Sie erstens die Zertifizierungsstelle, die das Zertifikat von Wirespeed ausgestellt hat, unter System > Trust > Authorities. Wählen Sie zweitens im Feld Certificate des Ziels ein Client-Zertifikat aus. OPNsense speichert ein TLS-Ziel nicht ohne ein solches; jedes Zertifikat mit privatem Schlüssel aus System > Trust > Certificates funktioniert. Siehe Syslog über TLS.

​
Geparste Ereignisse

Jede Zeile wird mit ihrer Programmfamilie gekennzeichnet (filterlog, kea_dhcp, filterdns, cron oder other). Das standardmäßige BSD-Format (RFC 3164) von pfSense enthält keinen Hostnamen, daher bleibt das Feld host leer, sofern Sie Log Message Format nicht auf syslog (RFC 5424) umstellen.
  • Firewall (filterlog): Regelnummer, Unterregel, Anchor, Tracker, Schnittstelle, Grund, Aktion und Richtung sowie der IPv4- oder IPv6-Header (TTL oder Hop-Limit, Flags, Protokoll, Länge, Quell- und Ziel-IP). TCP und UDP ergänzen Ports und Datenlänge; TCP ergänzt Flags, Sequenznummer, Bestätigungsnummer, Fenster und Optionen. ICMP ergänzt den Typ und seine typspezifischen Felder, CARP seine Advertisement-Felder. OPNsense wird an seinem 32-stelligen Regel-Label erkannt und als Variante gespeichert.
  • DHCP (kea_dhcp): Kea-Protokollstufe, Logger und Meldungs-ID. Lease-Meldungen wie DHCP4_LEASE_ALLOC ergänzen Client-MAC, Client-ID, Transaktions-ID, zugewiesene IP und Lease-Dauer.
  • Filter DNS (filterdns): der aufzulösende Alias-Hostname, gespeichert als Domain. Unter pfSense erfordert dies DNS Events oder Everything.
  • Cron (cron): Benutzer und Befehl.
  • Sonstige: Zeilen anderer Programme werden mit Programmname und Meldung gespeichert. Zugriffszeilen des webConfigurator (nginx) enthalten zusätzlich Client-IP, Anfrage, Status und User-Agent.
Anmeldungen an der Weboberfläche und per SSH werden noch nicht normalisiert.