Solución de problemas de firewall que envía registros al servidor Syslog previamente configurado (heredado)

Problema

El firewall envía mensajes syslog a un servidor syslog previamente configurado (heredado) en la dirección IP 198.51.100.100. Esta dirección IP no se encuentra en la configuración del firewall.

Entorno

Las plataformas afectadas son específicamente Firepower 2100 que ejecuta ASA en modo plataforma.

Resolución

Paso 1. Busque la dirección IP de origen de los mensajes de syslog:

Según el análisis de los mensajes recibidos por el servidor syslog heredado, la dirección IP de origen es la dirección IP de administración del chasis Firepower.

La dirección IP configurada en el sistema operativo extensible (FXOS) de Firepower es 192.0.2.100:

2026-04-27 15:22:49    User.Error    192.0.2.100    Apr 27 09:22:49 firepower FPRM: <<%FPRM-3-NTP_CONFIG_FAILED>> [F1329][major][ntp-config-failed][sys/svc-ext/datetime-svc] Ntp Configuration failed, please check the error message in Ntp host
2026-04-27 15:22:54   User.Error     192.0.2.100    Apr 27 09:22:54 firepower FPRM: <<%FPRM-3-NTP_CONFIG_FAILED>> [F1329][cleared][ntp-config-failed][sys/svc-ext/datetime-svc] Ntp Configuration failed, please check the error message in Ntp host

Paso 2. Verifique y verifique la configuración de syslog de FXOS:

• La configuración de la interfaz de línea de comandos (CLI) de FXOS no contiene la dirección del servidor syslog heredado: 

device # scope monitoring
device /monitoring # show configuration | i 198.51.100.100
device /monitoring # show configuration all | i 198.51.100.100

• Al mismo tiempo, la salida del comando show syslog en el ámbito de monitoreo muestra la dirección IP del servidor:

device # scope monitoring
device /monitoring # show syslog

console
    state: Disabled
    level: Critical

platform
    state: Enabled
    level: Information
    Name     Hostname             State    Level         Facility
    -------- -------------------- -------- ------------- --------
    Server 1 198.51.100.10        Enabled  Warnings      Local7
    Server 2 198.51.100.100       Enabled  Warnings      Local7 <---- legacy server
    Server 3 none                 Disabled Critical      Local7

sources
    faults: Enabled
    audits: Enabled
    events: Disabled

• Firepower Chassis Manager (FCM) User Interface (UI) > Platform Settings > Syslog no indica la configuración del servidor syslog.

fcm_syslogs_configuration.png

Paso 3. Intente modificar o eliminar el servidor syslog:

device# scope monitoring

device /monitoring # delete  <---
  snmp-trap  SNMP trap hostname or IP address
  snmp-user  SNMPv3 User

device /monitoring # set syslog  <---
  console   Console
  file      File
  platform  Platform

device /monitoring # set syslog platform <---
  level  Level

La conclusión es que ni FXOS CLI ni FCM UI proporcionan una manera de crear, modificar o eliminar cualquier servidor syslog, incluido 198.51.100.100.

Causa

Tenga en cuenta tres defectos de software:

ID de bug de Cisco CSCvn19025

Las versiones de software con la corrección de este defecto no permiten la configuración de syslog remoto FXOS en la interfaz de usuario de CLI o FCM.

ID de bug de Cisco CSCvt85766

La corrección de este defecto elimina la sección "destinos remotos" de la salida del comando FXOS show syslog.

Versiones sin corrección:

device# scope monitoring
device /monitoring # show syslog

console
    state: Enabled
    level: Critical

platform
    state: Enabled
    level: Information

file
    state: Enabled
    level: Critical
    name:  messages
    size:  4194304

remote destinations <----------------
    Name     Hostname             State    Level         Facility
    -------- -------------------- -------- ------------- --------
    Server 1 192.0.2.1            Enabled  Information   Local7
    Server 2 192.0.2.2            Enabled  Information   Local7
    Server 3 none                 Disabled Critical      Local7

sources
    faults: Enabled
    audits: Enabled
    events: Disabled

Las versiones con la corrección carecen de la sección "destinos remotos":

device # scope monitoring
device /monitoring # show syslog

console
    state: Enabled
    level: Critical

platform
    state: Enabled
    level: Information
    Name     Hostname             State    Level         Facility
    -------- -------------------- -------- ------------- --------
    Server 1 192.0.2.1            Enabled  Information   Local7
    Server 2 192.0.2.2            Enabled  Information   Local7
    Server 3 none                 Disabled Critical      Local7

sources
    faults: Enabled
    audits: Enabled
    events: Disabled

A pesar de no haber encontrado la sección "destinos remotos", los servidores syslog están visibles en la sección "plataforma".

ID de bug de Cisco CSCwu12470

Después de la actualización de software a la versión con la corrección del Id. de error de Cisco CSCvn19025, la administración de los servidores syslog remotos, es decir, la creación, modificación o eliminación, no está permitida en la CLI de FXOS o la interfaz de usuario de FCM. Esta limitación también se aplica a los servidores configurados antes de la actualización. A pesar de esto, después de la actualización del software, el software FXOS muestra los servidores syslog en la sección "plataforma" de la salida del comando show syslog y envía los mensajes syslog a estos servidores. Los usuarios no pueden administrar la configuración de syslog remoto FXOS existente, que se rastrea en el Id. de error de Cisco CSCwu12470.

Contenido relacionado

• ID de bug de Cisco CSCvn19025

• ID de bug de Cisco CSCvt85766

• ID de bug de Cisco CSCwu12470

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	29-Apr-2026	Versión inicial