> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# VMware vSphere

> Reenvíe syslog desde VMware vCenter Server y hosts ESXi

## Configuración

Una misma integración recibe el syslog de vCenter Server y de ESXi. Siga la guía compartida de [reenviadores de registros](https://docs.wirespeed.co/es/integrations/log-forwarders.md) para añadir **VMware vSphere** y abrir **Forwarder Details** (o pregunte a Chat por el `ip:port` del receptor).

### vCenter Server

1. Inicie sesión en la vCenter Server Management Interface (`https://<vcenter>:5480`) como `root`
2. Seleccione **Syslog**. En **Forwarding Configuration**, haga clic en **Configure** (o **Edit** si ya hay un servidor configurado)
3. Introduzca la dirección del servidor y el puerto de **Forwarder Details**, y establezca **Protocol** para que coincida con su transporte (UDP, TCP o TLS). Se admiten hasta tres servidores
4. Haga clic en **Save** y, a continuación, en **Send Test Message**. Por UDP, el estado puede mostrar **Unknown** aunque la entrega funcione
5. Para reenviar eventos de vCenter, abra el vSphere Client, seleccione el vCenter Server y vaya a **Configure** > **Settings** > **Advanced Settings** > **Edit Settings**. Filtre por `vpxd.event`, asegúrese de que `vpxd.event.syslog.enabled` está activado y haga clic en **Save**. Solo se envían los eventos generados a partir de ese momento
6. Los eventos empezarán a aparecer en breve

### Hosts ESXi

1. En el vSphere Client, seleccione el host, vaya a **Configure** > **System** > **Advanced System Settings** > **Edit** y filtre por `syslog`
2. Establezca `Syslog.global.logHost` en el receptor con su protocolo y puerto, por ejemplo `udp://<ip>:<port>` o `tcp://<ip>:<port>` (use `ssl://<ip>:<port>` para TLS), y haga clic en **OK**
3. En ESXi 8.0 U2 y anteriores, vaya a **Configure** > **System** > **Firewall** > **Edit**, seleccione el conjunto de reglas **syslog** en la pestaña **Ungrouped** y haga clic en **OK**. ESXi 8.0 U3 y posteriores abren el puerto syslog automáticamente
4. Repita para cada host, o ejecute `esxcli system syslog config set --loghost='<value>'`, después `esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true` y, a continuación, `esxcli system syslog reload`

Si **Forwarder Details** muestra **TLS: Enabled**:

* **ESXi**: añada la CA que emitió el certificado de Wirespeed al almacén de confianza de cada host, con `esxcli system security certificatestore add -f <ca.pem>` o publicándola en vCenter y seleccionando **Certificates** > **Refresh CA Certificates** en el host. Después ejecute `esxcli system syslog config set --check-ssl-certs=true` y `esxcli system syslog reload`
* **vCenter**: vCenter debe confiar en la CA que emitió el certificado de Wirespeed

Consulte [Syslog over TLS](https://docs.wirespeed.co/es/integrations/log-forwarders.md#syslog-over-tls).

## Eventos analizados

Cada línea se etiqueta con su producto (`vcenter` o `esxi`) y un stream:

* **Eventos de vCenter** (`vpxd_event`): clave del evento, parte, hora de creación, tipo `vim.event`, gravedad, usuario, destino, chain ID y mensaje. Los eventos de sesión con nombre de usuario incorrecto se normalizan como inicios de sesión fallidos. vCenter divide los eventos largos en partes numeradas que comparten la clave del evento; cada parte se almacena tal como se recibe. Este stream requiere `vpxd.event.syslog.enabled`.
* **Inicio de sesión único** (`sso`, `websso_audit`): los éxitos y fallos de inicio de sesión del Security Token Service se normalizan como inicios de sesión, con el usuario, el inquilino, el proveedor y el ID de correlación cuando están presentes. Los eventos de auditoría de SSO conservan su usuario, IP de cliente y tipo; los eventos de login entre ellos se normalizan como inicios de sesión, con el código de respuesta cuando la descripción incluye uno.
* **Directorio** (`vmdir`): los inicios de sesión bloqueados contra cuentas bloqueadas se marcan como bloqueos.
* **Auditoría del appliance** (`vcsa_audit`): registros de auditd con sus claves. Los registros `USER_LOGIN` se normalizan como inicios de sesión.
* **ESXi** (`esxi_hostd`, `esxi_vobd`, `esxi_sshd`, `esxi_shell`): las contraseñas de host aceptadas y rechazadas y los inicios de sesión SSH se normalizan como inicios de sesión. Se marcan los bloqueos de cuenta y la habilitación de SSH o ESXi Shell, y los comandos de shell se conservan con su usuario. El contexto `[Originator@6876 …]` (ID de operación, sesión, usuario) se almacena cuando aparece en la cabecera RFC 5424 o delante de un mensaje hostd u otro de vmacore, y las líneas cortadas por el límite de longitud remota de ESXi se marcan como truncadas.

Las líneas de otros servicios de vSphere se conservan bajo el stream `other` con su nombre de aplicación y mensaje.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.