VMware vSphere

​

Configuración

​

vCenter Server

1. Inicie sesión en la vCenter Server Management Interface (https://<vcenter>:5480) como root
2. Seleccione Syslog. En Forwarding Configuration, haga clic en Configure (o Edit si ya hay un servidor configurado)
3. Introduzca la dirección del servidor y el puerto de Forwarder Details, y establezca Protocol para que coincida con su transporte (UDP, TCP o TLS). Se admiten hasta tres servidores
4. Haga clic en Save y, a continuación, en Send Test Message. Por UDP, el estado puede mostrar Unknown aunque la entrega funcione
5. Para reenviar eventos de vCenter, abra el vSphere Client, seleccione el vCenter Server y vaya a Configure > Settings > Advanced Settings > Edit Settings. Filtre por vpxd.event, asegúrese de que vpxd.event.syslog.enabled está activado y haga clic en Save. Solo se envían los eventos generados a partir de ese momento
6. Los eventos empezarán a aparecer en breve

​

Hosts ESXi

1. En el vSphere Client, seleccione el host, vaya a Configure > System > Advanced System Settings > Edit y filtre por syslog
2. Establezca Syslog.global.logHost en el receptor con su protocolo y puerto, por ejemplo udp://<ip>:<port> o tcp://<ip>:<port> (use ssl://<ip>:<port> para TLS), y haga clic en OK
3. En ESXi 8.0 U2 y anteriores, vaya a Configure > System > Firewall > Edit, seleccione el conjunto de reglas syslog en la pestaña Ungrouped y haga clic en OK. ESXi 8.0 U3 y posteriores abren el puerto syslog automáticamente
4. Repita para cada host, o ejecute esxcli system syslog config set --loghost='<value>', después esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true y, a continuación, esxcli system syslog reload

• ESXi: añada la CA que emitió el certificado de Wirespeed al almacén de confianza de cada host, con esxcli system security certificatestore add -f <ca.pem> o publicándola en vCenter y seleccionando Certificates > Refresh CA Certificates en el host. Después ejecute esxcli system syslog config set --check-ssl-certs=true y esxcli system syslog reload
• vCenter: vCenter debe confiar en la CA que emitió el certificado de Wirespeed

​

Eventos analizados

• Eventos de vCenter (vpxd_event): clave del evento, parte, hora de creación, tipo vim.event, gravedad, usuario, destino, chain ID y mensaje. Los eventos de sesión con nombre de usuario incorrecto se normalizan como inicios de sesión fallidos. vCenter divide los eventos largos en partes numeradas que comparten la clave del evento; cada parte se almacena tal como se recibe. Este stream requiere vpxd.event.syslog.enabled.
• Inicio de sesión único (sso, websso_audit): los éxitos y fallos de inicio de sesión del Security Token Service se normalizan como inicios de sesión, con el usuario, el inquilino, el proveedor y el ID de correlación cuando están presentes. Los eventos de auditoría de SSO conservan su usuario, IP de cliente y tipo; los eventos de login entre ellos se normalizan como inicios de sesión, con el código de respuesta cuando la descripción incluye uno.
• Directorio (vmdir): los inicios de sesión bloqueados contra cuentas bloqueadas se marcan como bloqueos.
• Auditoría del appliance (vcsa_audit): registros de auditd con sus claves. Los registros USER_LOGIN se normalizan como inicios de sesión.
• ESXi (esxi_hostd, esxi_vobd, esxi_sshd, esxi_shell): las contraseñas de host aceptadas y rechazadas y los inicios de sesión SSH se normalizan como inicios de sesión. Se marcan los bloqueos de cuenta y la habilitación de SSH o ESXi Shell, y los comandos de shell se conservan con su usuario. El contexto [Originator@6876 …] (ID de operación, sesión, usuario) se almacena cuando aparece en la cabecera RFC 5424 o delante de un mensaje hostd u otro de vmacore, y las líneas cortadas por el límite de longitud remota de ESXi se marcan como truncadas.