DOCS ЖУРНАЛЛИСТ LOGG

Appearance

Juniper Junos OS ​

Сетевое оборудование Juniper под управлением Junos OS генерирует системные сообщения о работе интерфейсов, протоколов маршрутизации, аппаратных компонентов, действиях администраторов, изменениях конфигурации, ошибках и событиях безопасности.

Централизованная отправка этих сообщений в LOGG позволяет хранить историю работы оборудования, искать события сразу по всей сети, восстанавливать их последовательность и сопоставлять журналы Juniper с событиями других компонентов инфраструктуры.

Что можно собирать ​

В LOGG могут передаваться события:

  • физических и логических интерфейсов;
  • BGP, OSPF, IS-IS и других протоколов маршрутизации;
  • MPLS;
  • LACP;
  • STP/RSTP/MSTP;
  • chassis и аппаратных компонентов;
  • питания, вентиляторов и температуры;
  • перезагрузок оборудования;
  • системных процессов Junos;
  • действий администраторов;
  • входа и аутентификации пользователей;
  • изменений конфигурации;
  • firewall и security-компонентов;
  • SNMP;
  • ошибок и предупреждений;
  • других подсистем Junos OS.

Конкретный набор сообщений зависит от платформы, версии Junos OS и настроенной политики system syslog.

Как устроено журналирование Junos ​

Основная конфигурация Syslog находится в:

text
system {
    syslog {
        ...
    }
}

Junos позволяет независимо определять:

  • куда отправлять сообщения;
  • какие facility собирать;
  • какой severity использовать;
  • какие сообщения фильтровать;
  • формат сообщений;
  • source address;
  • локальные файлы журналов.

Это позволяет одновременно вести локальный журнал и передавать необходимые события в LOGG.

Минимальная настройка ​

Предположим, сервер LOGG имеет адрес:

text
192.0.2.10

Минимальная конфигурация:

text
configure

set system syslog host 192.0.2.10 any info

commit

После commit Junos начинает отправлять на LOGG сообщения всех facilities с уровнем info и выше.

Типовая схема:

text
Juniper Junos
     │
     │ Syslog
     ▼
    LOGG

Рекомендуемая настройка ​

Для постоянной эксплуатации имеет смысл дополнительно определить формат сообщений и стабильный адрес источника:

text
configure

set system syslog host 192.0.2.10 any info
set system syslog host 192.0.2.10 structured-data
set system syslog source-address 10.10.10.1

commit

Где:

  • 192.0.2.10 — сервер LOGG;
  • 10.10.10.1 — стабильный адрес маршрутизатора или коммутатора.

Использование постоянного source address особенно важно для оборудования с несколькими интерфейсами и маршрутами до системы журналирования.

Уровни журналирования ​

Junos использует стандартную систему Syslog severity:

УровеньJunos severityНазначение
0emergencyсистема неработоспособна
1alertтребуется немедленное вмешательство
2criticalкритическая ошибка
3errorошибка
4warningпредупреждение
5noticeважное штатное событие
6infoинформационное сообщение
7any / debugмаксимальная детализация

Для эксплуатационного мониторинга разумной отправной точкой является:

text
set system syslog host 192.0.2.10 any info

Это позволяет получать ошибки, предупреждения и информационные события, необходимые для восстановления истории работы инфраструктуры.

Чрезмерно подробное журналирование следует включать осознанно: на крупном маршрутизаторе оно может создать значительный поток сообщений.

Facilities ​

Одно из преимуществ Junos — возможность явно определять интересующие категории событий.

Например:

text
set system syslog host 192.0.2.10 authorization info
set system syslog host 192.0.2.10 change-log info
set system syslog host 192.0.2.10 interactive-commands info

Особенно полезны:

authorization — события авторизации;

change-log — изменения конфигурации;

interactive-commands — команды, выполняемые пользователями.

Таким образом, LOGG может использоваться не только для технической диагностики, но и для централизованного контроля административной активности.

Контроль изменений конфигурации ​

Для эксплуатации сетевой инфраструктуры особенно важны события изменения конфигурации.

Например:

text
set system syslog host 192.0.2.10 change-log info

Это позволяет передавать в LOGG информацию, связанную с изменениями конфигурации устройства.

Дополнительно можно собирать команды пользователей:

text
set system syslog host 192.0.2.10 interactive-commands info

В результате при расследовании инцидента можно сопоставить:

text
14:03:10  пользователь вошел на маршрутизатор
14:05:22  выполнена команда
14:06:03  изменена конфигурация
14:06:04  BGP session down
14:06:07  маршрут удален
14:06:12  сервис стал недоступен

Это значительно повышает ценность централизованного журнала.

Фильтрация сообщений ​

Junos позволяет использовать match для фильтрации сообщений по регулярному выражению.

Например:

text
set system syslog host 192.0.2.10 match "BGP|OSPF|RPD"

Такой подход позволяет создавать специализированные потоки журналов.

Однако использовать match для основного централизованного журнала следует осторожно: слишком узкий фильтр может исключить событие, которое впоследствии окажется важным для расследования.

Для базового подключения к LOGG лучше сначала собирать достаточно широкий поток, а оптимизировать его после анализа реальных данных.

Исключение сообщений ​

В зависимости от версии Junos доступны механизмы фильтрации и исключения сообщений.

Это полезно, если отдельный процесс или событие генерирует большое количество информационного шума.

Практический подход:

сначала собрать → измерить → классифицировать → затем фильтровать.

Не рекомендуется исключать сообщения только потому, что в нормальном режиме они кажутся незначительными: при аварии именно их последовательность может показать развитие проблемы.

Формат сообщений ​

Junos поддерживает традиционное Syslog-представление, а также структурированный формат.

Для централизованного анализа предпочтительно использовать:

text
set system syslog host 192.0.2.10 structured-data

Structured Syslog упрощает машинную обработку сообщений и позволяет передавать дополнительную структурированную информацию.

Для LOGG это особенно полезно при последующей нормализации, поиске и автоматическом анализе событий.

Source Address ​

На маршрутизаторах и коммутаторах с несколькими интерфейсами желательно использовать стабильный source address:

text
set system syslog source-address 10.10.10.1

В качестве него обычно выбирается:

  • Loopback;
  • management address;
  • другой постоянно доступный адрес устройства.

Это позволяет LOGG однозначно идентифицировать источник сообщений независимо от текущей сетевой топологии.

Routing Instance ​

В крупных инфраструктурах management-трафик часто изолирован в отдельной routing instance.

Junos позволяет учитывать routing instance при организации передачи системных журналов.

Это важно, если LOGG находится в выделенной сети управления.

При такой архитектуре необходимо проверить:

  • доступность LOGG из management routing instance;
  • маршрут до сервера;
  • source address;
  • firewall filters;
  • разрешенный Syslog-трафик.

Конкретный синтаксис зависит от платформы и версии Junos OS.

Несколько серверов LOGG ​

Можно настроить несколько удаленных Syslog-серверов:

text
set system syslog host 192.0.2.10 any info
set system syslog host 192.0.2.11 any info

Это позволяет организовать:

  • резервирование;
  • параллельную передачу в несколько экземпляров LOGG;
  • одновременную отправку в LOGG и SIEM;
  • миграцию между системами журналирования.

Для разных серверов можно задавать разные правила.

Например:

text
set system syslog host 192.0.2.10 any info
set system syslog host 192.0.2.11 authorization notice

Таким образом, один сервер может получать полный эксплуатационный поток, а другой — только события безопасности.

Локальные журналы ​

Централизованная передача не отменяет локального журналирования Junos.

Типичная конфигурация может содержать:

text
set system syslog file messages any notice
set system syslog file messages authorization info

Локальный журнал полезен:

  • при недоступности LOGG;
  • при потере management-связности;
  • при диагностике самого устройства;
  • для проверки генерации событий.

Просмотреть его можно, например:

text
show log messages

LOGG при этом используется для долговременного хранения и сопоставления событий всей инфраструктуры.

Время и NTP ​

Корректная синхронизация времени критически важна для анализа журналов.

Рекомендуется использовать NTP для всего парка Juniper.

Пример:

text
set system ntp server 192.0.2.20
set system ntp server 192.0.2.21

После изменения конфигурации:

text
commit

Проверить состояние времени и NTP можно соответствующими operational mode командами, например:

text
show system uptime
show ntp associations

При расследовании сетевой аварии LOGG может сопоставлять события с нескольких устройств:

text
10:21:14.102  MX-CORE-01   interface down
10:21:14.341  MX-CORE-01   BGP peer down
10:21:14.925  MX-CORE-02   route changed
10:21:15.317  EX-AGG-01    uplink changed
10:21:17.041  APP-01       connection timeout

Точное время превращает отдельные сообщения в последовательность событий.

Проверка конфигурации ​

Посмотреть настройки Syslog:

text
show configuration system syslog

В режиме конфигурации:

text
show system syslog

Проверить локальные журналы:

text
show log messages

Проверить доступность LOGG:

text
ping 192.0.2.10

После настройки необходимо убедиться, что Juniper появился среди источников LOGG и новые события поступают в систему.

Проверка без изменения рабочей конфигурации ​

Для тестирования желательно использовать безопасное событие, которое можно однозначно найти в журнале.

Например, вход администратора или другое штатное административное действие.

После этого:

  1. убедитесь, что событие присутствует локально;
  2. найдите его в LOGG;
  3. сравните timestamp;
  4. проверьте hostname и source IP;
  5. убедитесь, что severity и facility распознаны корректно.

Такой тест особенно полезен перед массовым подключением оборудования.

Если сообщения не поступают ​

Последовательно проверьте:

  1. Присутствует ли system syslog host.
  2. Правильно ли указан IP-адрес LOGG.
  3. Выполнен ли commit.
  4. Доступен ли LOGG с устройства.
  5. Есть ли маршрут до сервера.
  6. Правильно ли выбрана routing instance.
  7. Не блокирует ли Syslog firewall filter.
  8. Правильно ли установлен source address.
  9. Не установлен ли слишком строгий severity.
  10. Не ограничивает ли поток выражение match.
  11. Генерируется ли сообщение в локальном журнале.
  12. Принимает ли LOGG сообщения на нужном адресе и порту.
  13. Синхронизировано ли время.

Для первичной диагностики полезны:

text
show configuration system syslog
show log messages
show route 192.0.2.10
ping 192.0.2.10

Рекомендуемая политика ​

Для большого парка Juniper рекомендуется сформировать единую политику:

text
Juniper Junos
      │
      ├── единый NTP
      ├── hostname
      ├── стабильный source address
      ├── system events
      ├── authorization
      ├── change-log
      ├── interactive-commands
      │
      └── LOGG

Базовая конфигурация может выглядеть следующим образом:

text
set system syslog source-address 10.10.10.1

set system syslog host 192.0.2.10 any info
set system syslog host 192.0.2.10 authorization info
set system syslog host 192.0.2.10 change-log info
set system syslog host 192.0.2.10 interactive-commands info
set system syslog host 192.0.2.10 structured-data

После настройки:

text
commit

Конкретную политику следует адаптировать к роли оборудования и требованиям организации.

Массовая настройка ​

При десятках, сотнях или тысячах Juniper Syslog следует рассматривать как централизованную эксплуатационную политику.

Шаблон должен определять:

  • серверы LOGG;
  • severity;
  • facilities;
  • structured-data;
  • source address;
  • NTP;
  • routing instance;
  • локальное журналирование;
  • правила фильтрации.

Для разных ролей можно создавать разные профили:

Core / Edge Router

text
System + Interfaces + Routing + Authorization + Configuration

Access / Aggregation Switch

text
System + Interfaces + L2 + Authorization + Configuration

Security Gateway

text
System + Security + Authorization + Configuration

Это позволяет контролировать объем данных, сохраняя необходимые для диагностики события.

Что дает подключение Juniper к LOGG ​

На отдельном Juniper инженер может увидеть:

text
Interface Down
BGP Neighbor Down
Route Withdrawn

Но эти сообщения описывают только поведение одного устройства.

LOGG сопоставляет их с журналами других маршрутизаторов, коммутаторов, серверов, операционных систем и приложений.

Вместо набора сообщений появляется последовательность:

интерфейс потерян → BGP-соседство разорвано → маршруты отозваны → трафик перестроен → сервис начал отвечать с ошибками.

Так журналы превращаются из архива сообщений в источник знаний о поведении инфраструктуры.

Множество устройств — единая картина событий.

LOGG: события, связи, влияние.