Saltar al contenido principal

​
Configuración

Siga la guía compartida de Reenviadores de registros para añadir pfSense / OPNsense y abrir Detalles del reenviador (o pregunte a Chat por el ip:port del listener).

​
pfSense

  1. Abra Status > System Logs y seleccione la pestaña Settings
  2. En General Logging Options, establezca Log Message Format en syslog (RFC 5424, with RFC 3339 microsecond-precision timestamps). Sus marcas de tiempo llevan el desplazamiento UTC e incluyen el nombre de host del cortafuegos. También se admite BSD (RFC 3164, default), pero no lleva nombre de host y sus marcas de tiempo no tienen zona horaria, por lo que se interpretan como UTC. Este ajuste también cambia el formato de los registros locales del cortafuegos
  3. En Remote Logging Options, marque Enable Remote Logging
  4. Introduzca el listener como ip:port en Server 1 bajo Remote log servers. pfSense solo envía por UDP, así que use un listener UDP. El syslog UDP no está cifrado ni autenticado, así que envíelo solo por una red de confianza o un túnel VPN. Si debe salir por una VPN, establezca Source Address en esa interfaz
  5. En Remote Syslog Contents, seleccione Everything. Si prefiere limitarlo, seleccione al menos Firewall Events, DHCP Events y DNS Events
  6. Haga clic en Save. Los eventos empezarán a aparecer en breve
Los detalles de las concesiones DHCP se analizan desde el servidor Kea DHCP, que se selecciona en System > Advanced > Networking > Server Backend. Las líneas del backend ISC DHCP obsoleto se conservan bajo Other.

​
OPNsense

  1. Abra System > Settings > Logging y seleccione la pestaña Remote
  2. Haga clic en + para añadir un destino y marque Enabled
  3. Establezca Transport para que coincida con Detalles del reenviador (UDP(4), TCP(4) o TLS(4), o la variante (6) para un listener IPv6), e introduzca el Hostname y el Port del listener
  4. Deje Applications vacío para enviar todo, o seleccione al menos filter (filterlog) y su servidor DHCP: kea (kea-dhcp4), dhcpd (dhcpd) o dnsmasq (dnsmasq)
  5. Marque RFC5424, haga clic en Save y, a continuación, en Apply
Si Detalles del reenviador muestra TLS: Enabled, OPNsense necesita dos cosas antes de poder conectar. Primero, importe la CA que emitió el certificado de Wirespeed en System > Trust > Authorities. Segundo, seleccione un certificado de cliente en el campo Certificate del destino. OPNsense no guardará un destino TLS sin uno; funciona cualquier certificado con clave privada de System > Trust > Certificates. Consulte Syslog sobre TLS.

​
Eventos analizados

Cada línea se etiqueta con su familia de programa (filterlog, kea_dhcp, filterdns, cron u other). El formato BSD (RFC 3164) predeterminado de pfSense no lleva nombre de host, por lo que el campo host está vacío a menos que cambie Log Message Format a syslog (RFC 5424).
  • Cortafuegos (filterlog): número de regla, subregla, anchor, tracker, interfaz, motivo, acción y dirección, más la cabecera IPv4 o IPv6 (TTL o hop limit, flags, protocolo, longitud, IP de origen y destino). TCP y UDP añaden puertos y longitud de datos; TCP añade flags, secuencia, acknowledgment, ventana y opciones. ICMP añade el tipo y sus campos por tipo, y CARP añade sus campos de anuncio. OPNsense se detecta a partir de su etiqueta de regla de 32 caracteres y se registra como la variante.
  • DHCP (kea_dhcp): nivel de registro, logger e ID de mensaje de Kea. Los mensajes de concesión como DHCP4_LEASE_ALLOC añaden la MAC del cliente, el ID de cliente, el ID de transacción, la IP concedida y la duración de la concesión.
  • Filter DNS (filterdns): el nombre de host del alias que se está resolviendo, registrado como dominio. En pfSense esto requiere DNS Events o Everything.
  • Cron (cron): el usuario y el comando.
  • Other: las líneas de otros programas se conservan con su nombre de programa y mensaje. Las líneas de acceso de webConfigurator (nginx) también incluyen la IP del cliente, la solicitud, el estado y el agente de usuario.
Los inicios de sesión en la interfaz web y SSH aún no están normalizados.