Sommario

Introduzione

Prerequisiti

Requisiti

Configurazioni

Verifica

Risoluzione dei problemi

Introduzione

In questo documento viene descritto come configurare Syslog in Firepower Device Manager (FDM).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Firepower Threat Defense

- Syslog Server che esegue il software Syslog per raccogliere dati

Configurazioni

Passaggio 1. Dalla schermata Main Firepower Device Manager (Gestione periferiche Firepower), selezionare Logging Settings (Impostazioni di registrazione) in System Settings (Impostazioni di sistema) nell'angolo inferiore destro della schermata.

Passaggio 2. Nella schermata System Settings (Impostazioni di sistema), selezionare Logging Settings (Impostazioni di registrazione) nel menu a sinistra.

Passaggio 3. Impostare l'interruttore di attivazione/disattivazione della registrazione dei dati selezionando il segno + in Server Syslog.

Passaggio 4. Selezionare Add Syslog Server (Aggiungi server syslog). In alternativa, è possibile creare l'oggetto Syslog Server in Oggetti - Syslog Server.

Passaggio 5. Immettere l'indirizzo IP del server Syslog e il numero di porta. Selezionare il pulsante di opzione per Interfaccia dati e scegliere OK.

Passaggio 6. Selezionare quindi il nuovo server Syslog e scegliere OK.

Passaggio 7. Selezionare il pulsante di opzione Livello di gravità per filtrare tutti gli eventi e selezionare il livello di registrazione desiderato.

Passaggio 8. Selezionare Save (Salva) nella parte inferiore dello schermo.

Passaggio 9. Verificare che le impostazioni siano corrette.

Passaggio 10. Distribuire le nuove impostazioni.

E

FACOLTATIVO.

È inoltre possibile impostare le regole di controllo d'accesso di Access Control Policy per accedere al server Syslog:

Passaggio 1. Fare clic sul pulsante Criteri nella parte superiore della schermata.

Passaggio 2. Posizionare il puntatore del mouse sul lato destro della regola ACP per aggiungere la registrazione e selezionare l'icona della matita.

Passaggio 3. Selezionare la scheda Logging, selezionare il pulsante di opzione per Al termine della connessione, selezionare la freccia in giù in Selezionare una configurazione di avviso syslog, selezionare sul server syslog e scegliere OK.

Passaggio 4. Distribuire le modifiche alla configurazione.

Verifica

Passaggio 1. Al termine dell'operazione, è possibile verificare le impostazioni nella modalità di compressione FTD CLI usando il comando show running-config logging.

Passaggio 2. Accedere al server Syslog e verificare che l'applicazione del server Syslog accetti i messaggi Syslog.

Risoluzione dei problemi

Passaggio 1. Se i messaggi Syslog sull'applicazione Syslog producono messaggi, eseguire un'acquisizione di pacchetto dalla CLI FTD per controllare la presenza di pacchetti. Passare dalla modalità Clish a LINA immettendo il comando system support diagnostic-cli al prompt dei comandi clish.

Passaggio 2. Creare un'acquisizione pacchetto per l'udp 514 (o tcp 1468 se si utilizza tcp)

Passaggio 3. Verificare che la comunicazione sia diretta alla scheda di interfaccia di rete sul server Syslog. Usare Wireshark o un altro programma di acquisizione pacchetti caricato. Fare doppio clic sull'interfaccia in Wireshark per il server Syslog per avviare l'acquisizione dei pacchetti.

Passaggio 4. Impostare un filtro di visualizzazione nella barra superiore per udp 514 digitando udp.port==514 e selezionando la freccia a destra della barra. Dall'output, verificare se i pacchetti stanno raggiungendo il server Syslog.

Passaggio 5. Se i dati non vengono visualizzati nell'applicazione Syslog Server, risolvere il problema relativo all'impostazione nell'applicazione Syslog Server. Verificare che venga utilizzato il protocollo udp/tcp corretto e la porta 514/1468 corretta.