Eltex MES

Коммутаторы Eltex MES генерируют системные сообщения о состоянии интерфейсов, сетевых протоколов, аппаратных компонентов, действиях администраторов, изменениях конфигурации, ошибках и других событиях.

Централизованная отправка этих сообщений в LOGG позволяет хранить историю работы оборудования, искать события сразу по всей сети, анализировать их последовательность и сопоставлять журналы Eltex с событиями других компонентов инфраструктуры.

Что можно собирать

В LOGG могут передаваться системные сообщения Eltex MES, в том числе:

• изменение состояния интерфейсов;
• события VLAN, STP и LAG;
• события маршрутизации;
• ошибки и предупреждения оборудования;
• события питания и температуры;
• перезагрузки оборудования;
• ошибки программного обеспечения;
• действия администраторов;
• попытки доступа и авторизации;
• изменения конфигурации;
• события безопасности;
• другие системные сообщения коммутатора.

Конкретный набор сообщений зависит от модели MES, версии программного обеспечения и настроенного уровня журналирования.

Минимальная настройка

Для передачи Syslog на сервер LOGG необходимо указать его IP-адрес.

Пример:

configure

logging host 192.0.2.10
logging severity informational

exit

Где:

• 192.0.2.10 — IP-адрес сервера LOGG;
• informational — уровень передаваемых сообщений.

Для сохранения конфигурации:

copy running-config startup-config

В зависимости от поколения MES и версии ПО синтаксис отдельных команд может отличаться.

Уровни журналирования

Eltex MES использует стандартные уровни Syslog:

Уровень	Название	Назначение
0	emergency	система неработоспособна
1	alert	требуется немедленное вмешательство
2	critical	критическая ошибка
3	error	ошибка
4	warning	предупреждение
5	notice	важное штатное событие
6	informational	информационное сообщение
7	debugging	отладочная информация

Для эксплуатационного мониторинга обычно рекомендуется собирать сообщения вплоть до уровня informational.

Это позволяет видеть не только ошибки, но и значимые изменения состояния оборудования.

Уровень debugging рекомендуется включать только при необходимости диагностики — он может существенно увеличить объем журналов.

UDP и TCP

Классический вариант передачи Syslog — UDP/514.

Он прост и создает минимальную дополнительную нагрузку на оборудование, однако UDP не гарантирует доставку сообщения.

Если конкретная модель и версия ПО Eltex MES поддерживает передачу Syslog по TCP, его можно использовать там, где надежность доставки важнее минимальных накладных расходов.

При выборе транспорта необходимо также убедиться, что соответствующий порт разрешен:

• на сервере LOGG;
• на межсетевых экранах;
• в ACL;
• между management-сетью и сервером журналирования.

Адрес источника

В инфраструктуре с несколькими интерфейсами управления желательно использовать стабильный адрес устройства для отправки журналов.

Обычно для этого выбирается:

• management-интерфейс;
• Loopback;
• другой постоянно доступный IP-интерфейс.

Это важно для LOGG: один и тот же коммутатор должен идентифицироваться одинаково независимо от маршрута, по которому Syslog дошел до сервера.

Наличие команды явного выбора source interface и ее синтаксис следует проверять для конкретной серии MES.

Hostname устройства

Перед массовым подключением оборудования рекомендуется привести имена устройств к единой системе.

Например:

hostname SW-DC1-CORE-01

Понятные и уникальные hostname существенно упрощают работу с централизованными журналами.

Вместо десятков IP-адресов инженер получает события от:

SW-DC1-CORE-01
SW-DC1-ACCESS-12
SW-OFFICE3-01

Это особенно важно при эксплуатации сотен и тысяч сетевых устройств.

Локальное журналирование

Помимо передачи сообщений в LOGG рекомендуется сохранять системные сообщения локально на оборудовании, если модель MES предоставляет такую возможность.

Локальный журнал полезен:

• при потере связи с LOGG;
• при проблемах management-сети;
• во время загрузки устройства;
• для сопоставления удаленных и локальных журналов.

При этом LOGG остается основным источником для долговременного хранения и анализа событий всей инфраструктуры.

Несколько Syslog-серверов

При поддержке конкретной моделью можно настроить несколько получателей Syslog.

Например, это может использоваться для одновременной отправки событий:

Eltex MES
   │
   ├── LOGG
   │
   └── SIEM

или для построения резервированной инфраструктуры сбора журналов.

Такой подход также удобен при миграции между системами: новое решение можно подключить параллельно, не отключая существующий Syslog-сервер.

Фильтрация сообщений

Не все журналы одинаково полезны для постоянного централизованного хранения.

Особенно большой поток могут создавать:

• debugging;
• частые изменения состояния нестабильного интерфейса;
• повторяющиеся сообщения протоколов;
• диагностические сообщения отдельных подсистем.

В зависимости от возможностей конкретной версии MES поток может ограничиваться по severity и другим параметрам журналирования.

Однако на первом этапе рекомендуется собирать достаточно полный набор событий.

После анализа реального потока в LOGG можно определить:

• какие сообщения наиболее полезны;
• какие события следует выделять;
• какие требуют автоматического реагирования;
• какие сообщения создают избыточный шум.

Время и NTP

Для централизованного анализа критически важна синхронизация времени.

Все коммутаторы Eltex и серверы LOGG должны использовать согласованный источник времени.

Рекомендуется настроить NTP и проверить:

• системное время;
• временную зону;
• состояние синхронизации.

При расследовании сетевой аварии часто требуется сопоставить события сразу с нескольких устройств:

10:21:14  CORE-01     изменение состояния LAG
10:21:14  ACCESS-17   потеря uplink
10:21:15  ACCESS-18   STP topology change
10:21:17  ROUTER-01   изменение маршрута

Без синхронизации времени восстановить реальную последовательность событий значительно сложнее.

Проверка конфигурации

После настройки необходимо проверить текущую конфигурацию устройства.

Например:

show running-config

или отфильтровать параметры журналирования, если соответствующая команда поддерживается используемой версией CLI.

Также необходимо проверить сетевую доступность LOGG:

ping 192.0.2.10

После этого следует убедиться, что сообщения от устройства появились в интерфейсе LOGG.

Для проверки удобно выполнить контролируемое действие, которое формирует системное событие, например административный вход или другое безопасное изменение состояния.

Если сообщения не поступают

Последовательно проверьте:

1. Правильно ли указан IP-адрес LOGG.
2. Доступен ли сервер с коммутатора.
3. Есть ли маршрут до сети LOGG.
4. Разрешен ли UDP/514 или другой выбранный порт.
5. Не блокируется ли Syslog ACL или межсетевым экраном.
6. Правильно ли выбран severity.
7. Не используется ли другой source IP, чем ожидается.
8. Принимает ли LOGG сообщения на соответствующем интерфейсе и порту.
9. Корректно ли настроено время устройства.
10. Сохранена ли конфигурация после настройки.

При наличии локального журнала также следует проверить, генерирует ли устройство ожидаемые сообщения локально.

Рекомендуемый подход

Для типовой сети рекомендуется придерживаться единой политики для всего парка Eltex MES:

• уникальные и понятные hostname;
• синхронизация через NTP;
• единый уровень Syslog;
• стабильный source IP;
• централизованная отправка в LOGG;
• локальное журналирование;
• одинаковые правила для оборудования одной роли.

Например:

CORE      → informational → LOGG
DISTRIBUTION → informational → LOGG
ACCESS    → informational → LOGG

При необходимости правила можно адаптировать для отдельных групп оборудования.

Массовая настройка

При большом количестве Eltex MES имеет смысл рассматривать настройку Syslog не как конфигурацию отдельного коммутатора, а как единую политику журналирования сети.

Шаблон должен определять:

• адрес LOGG;
• транспорт и порт;
• severity;
• source interface;
• hostname;
• NTP;
• локальное журналирование.

Такой шаблон можно распространять средствами централизованного управления конфигурациями или автоматизации.

Это снижает вероятность того, что часть оборудования окажется настроена иначе и выпадет из общей картины.

Что дает подключение Eltex MES к LOGG

Один коммутатор показывает только собственные события.

LOGG объединяет журналы коммутаторов доступа, агрегации, ядра и других компонентов инфраструктуры в единой временной шкале.

Это позволяет увидеть не просто сообщение:

«интерфейс перешел в состояние Down»,

а последовательность:

что произошло → какие устройства отреагировали → какие сервисы оказались затронуты.

Множество устройств — единая картина событий.

LOGG: события, связи, влияние.

Примечание: семейство Eltex MES включает несколько поколений оборудования с различающимися версиями CLI и ПО. Перед массовым применением конфигурации необходимо сверить синтаксис команд с документацией конкретной серии и версии программного обеспечения.