Cisco IOS и IOS XE

Сетевое оборудование Cisco генерирует системные сообщения о состоянии интерфейсов, протоколов, оборудования, действиях пользователей, изменениях конфигурации, ошибках и других событиях.

Централизованная отправка этих сообщений в LOGG позволяет хранить историю работы оборудования, искать события сразу по всей сети, анализировать последовательность событий и использовать журналы совместно с другими данными мониторинга.

Что можно собирать

В LOGG могут передаваться системные сообщения Cisco IOS и IOS XE, в том числе:

• изменение состояния интерфейсов;
• события маршрутизации и сетевых протоколов;
• ошибки и предупреждения оборудования;
• события питания и температуры;
• перезагрузки оборудования;
• ошибки программного обеспечения;
• действия администраторов;
• успешные и неуспешные попытки доступа;
• изменения конфигурации;
• события безопасности;
• сообщения различных подсистем IOS / IOS XE.

Конкретный набор сообщений зависит от модели оборудования, версии программного обеспечения и настроенного уровня журналирования.

Минимальная настройка

Для начала передачи журналов достаточно указать адрес сервера LOGG и необходимый уровень сообщений.

Например:

configure terminal

logging host 192.0.2.10 transport udp port 514
logging trap informational
logging facility local7

end

Где:

• 192.0.2.10 — IP-адрес сервера LOGG;
• 514 — UDP-порт приема Syslog;
• informational — уровень передаваемых сообщений;
• local7 — Syslog facility.

После применения конфигурации устройство начинает отправлять подходящие системные сообщения на LOGG.

Использование TCP

Если требуется доставка журналов по TCP:

configure terminal

logging host 192.0.2.10 transport tcp port 601
logging trap informational
logging facility local7

end

TCP обычно предпочтительнее там, где потеря отдельных сообщений нежелательна.

Необходимо убедиться, что соответствующий TCP-порт разрешен между оборудованием Cisco и сервером LOGG.

Рекомендуемая конфигурация

Для постоянной эксплуатации полезно дополнительно определить источник сообщений и идентификатор оборудования:

configure terminal

service timestamps log datetime msec localtime show-timezone

logging host 192.0.2.10 transport tcp port 601
logging trap informational
logging facility local7

logging source-interface Loopback0
logging origin-id hostname

end

Использование стабильного интерфейса, например Loopback0, позволяет LOGG однозначно идентифицировать источник независимо от изменения маршрута доставки сообщений.

logging origin-id hostname добавляет идентификатор устройства в отправляемые сообщения.

Уровень журналирования

Команда:

logging trap informational

определяет максимальную детализацию сообщений, отправляемых на удаленный Syslog-сервер.

Cisco использует стандартные уровни Syslog:

Уровень	Название	Назначение
0	emergencies	система неработоспособна
1	alerts	требуется немедленное вмешательство
2	critical	критическая ошибка
3	errors	ошибка
4	warnings	предупреждение
5	notifications	важное штатное событие
6	informational	информационное сообщение
7	debugging	отладочная информация

Для большинства эксплуатационных сценариев разумной отправной точкой является:

logging trap informational

Это позволяет получать сообщения уровней 0–6.

Уровень debugging следует включать осознанно: на активном оборудовании он способен существенно увеличить поток журналов.

Локальный буфер

Помимо отправки сообщений в LOGG можно сохранить локальный журнал на самом устройстве:

logging buffered 16384 informational

Локальный буфер удобен как дополнительный источник информации при диагностике проблем с сетью или доступностью централизованного сервера.

Размер буфера выбирается с учетом возможностей конкретного оборудования.

Отдельный интерфейс управления

В инфраструктуре с выделенной management-сетью рекомендуется отправлять Syslog через интерфейс управления или Loopback:

logging source-interface Loopback0

Cisco IOS XE также позволяет использовать VRF при определении удаленного Syslog-сервера. Например:

logging host 192.0.2.10 vrf MGMT transport udp port 514

Это удобно, когда сеть управления логически отделена от пользовательского трафика.

Несколько серверов

Cisco позволяет настроить несколько удаленных получателей журналов.

Например:

logging host 192.0.2.10 transport tcp port 601
logging host 192.0.2.11 transport tcp port 601

Такой вариант может использоваться для параллельной передачи сообщений в LOGG и другую систему либо при построении отказоустойчивой схемы сбора.

Фильтрация сообщений на Cisco

Если устройство генерирует слишком большой объем сообщений, IOS / IOS XE позволяет фильтровать Syslog непосредственно на источнике.

Для этого могут использоваться logging discriminator.

Фильтрация может учитывать:

• severity;
• facility;
• mnemonic;
• содержимое сообщения;
• ограничения интенсивности сообщений.

Это позволяет, например, исключить из потока часто повторяющиеся незначительные сообщения до их передачи по сети.

Однако обычно рекомендуется сначала собирать достаточно полный набор событий и только после анализа реального потока определять, какие сообщения действительно стоит исключить.

Проверка настройки

Текущую конфигурацию журналирования можно посмотреть командой:

show logging

Также удобно проверить соответствующую часть running configuration:

show running-config | include logging

В выводе должны присутствовать адрес LOGG, выбранный транспорт и установленный уровень журналирования.

Например:

logging trap informational
logging facility local7
logging source-interface Loopback0
logging origin-id hostname
logging host 192.0.2.10 transport tcp port 601

После этого следует проверить появление сообщений от устройства в интерфейсе LOGG.

Если сообщения не поступают

Проверьте:

1. Доступен ли IP-адрес LOGG с оборудования Cisco.
2. Правильно ли указан UDP/TCP-порт.
3. Разрешен ли этот порт межсетевыми экранами и ACL.
4. Существует ли маршрут до LOGG.
5. Правильно ли настроен VRF, если используется отдельная management-сеть.
6. Не блокируется ли трафик от выбранного source-interface.
7. Включена ли отправка сообщений нужного severity.
8. Принимает ли LOGG сообщения на указанном протоколе и порту.

Команда:

show logging

позволяет проверить состояние журналирования непосредственно на устройстве.

Практические рекомендации

Для типовой инфраструктуры рекомендуется:

service timestamps log datetime msec localtime show-timezone
logging trap informational
logging facility local7
logging source-interface Loopback0
logging origin-id hostname
logging host 192.0.2.10 transport tcp port 601

Адрес сервера, интерфейс, facility, транспорт и порт необходимо адаптировать под конкретную инфраструктуру.

Для большого количества сетевого оборудования особенно важно использовать единый подход к hostname, source interface, времени и уровням журналирования. Это упрощает поиск и сопоставление событий между различными устройствами.

Что дает подключение Cisco к LOGG

После централизации журналов можно видеть события не как отдельные сообщения одного маршрутизатора или коммутатора, а как последовательность изменений всей инфраструктуры.

Множество устройств — единая картина событий.

LOGG позволяет увидеть, что произошло, в какой последовательности и на что это повлияло.