Исправляю правила временной зоны по умолчанию для систем логирования между внутренними системами.

Исправляю правила временной зоны по умолчанию для систем логирования между внутренними системами., wifiman

sahafeez

Guest

24.02.2025 19:31:00

Привет, немного почитал тут на форуме. Подскажите, пожалуйста, могу ли я правильно понимаю, как переопределить стандартную настройку syslog для внутреннего трафика? Нельзя редактировать автоматически созданные правила в брандмауэре. Стандартная настройка "внутренний - внутренний" - это syslog для всего трафика. Если добавить новое правило, дублирующее стандартное, но без syslog, оно добавляется перед стандартным. Правила обрабатываются по порядку, поэтому новое правило сработает первым, и syslog-спам прекратится. Ничего другого не сломаю, если так сделаю. Попробую, должно сработать. Задокументировал здесь, учитывая количество сообщений на форуме. В интерфейсе действительно стоило бы добавить галочку "для продвинутых пользователей", которая разрешала бы редактирование этих правил. Можете сколько угодно выводить окна подтверждения, но это немного глупо.

travis.vitek Guest	#2 25.02.2025 20:01:00 Там это появилось с тех пор, как добавили настройку SIEM Server.

sahafeez Guest	#3 25.02.2025 17:51:00 Спасибо! Я никогда не замечал (или это что-то новенькое) "Firewall Default Policy" в настройках syslog!

travis.vitek

Guest

25.02.2025 07:18:00

Нет, я не думаю, что это так. Последний раз, когда я этим занимался, мне пришлось добавлять политики с включенным логированием, чтобы увидеть что-либо в syslog (/var/log/ulog/syslogemu.log). Если вы используете внешний syslog-сервер, есть опция в конфигурации логирования, чтобы отключить/включить логирование для стандартных политик брандмауэра.

Да. После стандартной политики ничего разместить нельзя. Если бы можно было, правило не имело бы значения, так как стандартная политика перехватывала бы весь трафик до того, как ваша политика была бы применена. Если система каким-то образом создала правило позже, вы могли бы просто переупорядочить правила, верно?

Да, они обрабатываются по порядку. Вы можете изменить порядок, если стандартное положение вам не подходит.

Если вы просто дублируете существующие политики и ставите свою непосредственно перед ними, проблем не будет.

Вы пытаетесь устранить логирование, которое отправляется в файл syslog, или на страницу Syslog в сетевом приложении? Как я упоминал выше, я не думаю, что стандартные правила логируются в файл syslog, но все блокировки трафика отображаются в приложении.

sahafeez Guest	#5 24.02.2025 19:46:00 Ну вот, кажется, заработало. Однако, когда я пытаюсь добавить правило, чтобы переопределить отправку логов в syslog из шлюза, пишет: "Нельзя создавать политики, если шлюз указан как исходная зона". Ну, это как-то странно. Я уже настроил отправку всех логов соединений с UDM в syslog через syslog с этой конфигурацией. И я правда, правда не хочу вручную строить все правила брандмауэра.

Читают тему (гостей: 1)