目錄

簡介

必要條件

需求

組態

驗證

疑難排解

簡介

本文檔介紹如何在Firepower裝置管理器(FDM)中配置系統日誌。

必要條件

需求

思科建議您瞭解以下主題：

- Firepower威脅防禦

- 運行Syslog軟體以收集資料的Syslog伺服器

組態

步驟1.在Firepower裝置管理器主螢幕中，選擇螢幕右下角「System Settings（系統設定）」下的「Logging Settings（日誌記錄設定）」。

步驟2.在「System Settings（系統設定）」螢幕上，選擇左側選單中的Logging Settings（日誌記錄設定）。

步驟3.選擇Syslog Servers下的+號以設定Data Logging切換開關。

步驟4.選擇Add Syslog Server。或者，您也可以在對象 — Syslog伺服器中建立系統日誌伺服器對象。

步驟5.輸入系統日誌伺服器的IP地址和埠號。選擇「資料介面」的單選按鈕，然後選擇「確定」。

步驟6.接下來，選擇新的Syslog伺服器並選擇OK。

步驟7.選擇用於過濾所有事件的嚴重性級別單選按鈕，然後選擇所需的日誌記錄級別。

步驟8.選擇螢幕底部的儲存。

步驟9.驗證設定是否成功。

步驟10.部署新設定。

和

可選。

此外，還可以將訪問控制策略訪問控制規則設定為登入到系統日誌伺服器：

步驟1.按一下螢幕頂部的Policies（策略）按鈕。

步驟2. 將滑鼠懸停在ACP規則的右側以新增日誌記錄並選擇鉛筆圖示。

步驟3.選擇Logging頁籤，選擇At End of Connection的單選按鈕，選擇Select a Syslog Alert Configuration下的下拉箭頭，在Syslog Server上選擇，然後選擇OK。

步驟4.部署配置更改。

驗證

步驟1.任務完成後，可以使用show running-config logging命令驗證FTD CLI清除模式中的設定。

步驟2.導航到Syslog伺服器並驗證Syslog伺服器應用程式是否正在接受Syslog消息。

疑難排解

步驟1.如果Syslog應用程式上的Syslog消息生成任何消息，請從FTD CLI執行資料包捕獲以檢查資料包。在clish提示符下輸入system support diagnostic-cli命令，從Clish模式更改為LINA。

步驟2.為udp 514建立一個資料包捕獲（如果使用tcp，則為tcp 1468）

步驟3.驗證通訊是否與Syslog伺服器上的網路介面卡進行通訊。使用Wireshark或載入的其他資料包捕獲實用程式。按兩下Wireshark中的介面，讓系統日誌伺服器開始捕獲資料包。

步驟4.鍵入udp.port==514並選擇該欄右側的箭頭，在頂部欄中為udp 514設定顯示過濾器。從輸出中，確認資料包是否進入系統日誌伺服器。

步驟5.如果Syslog伺服器應用程式未顯示資料，請排除Syslog伺服器應用程式中的設定故障。確保使用的是正確的udp/tcp協定和正確的埠514/1468。