Лучшие советы по логированию

Лучшие советы по логированию, UniFi Network

FensterB

Guest

14.01.2017 13:31:00

Ребята, не могу разобраться, как получить более подробные логи с моего сервера Unifi. У нас в офисе есть выделенный компьютер с контроллером, который управляет примерно 175 сайтами. Было бы полезно видеть в логах такие «события», как устройство, пытающееся войти в сеть с неправильным паролем, или клиент, который пытался подключиться, но пул DHCP-сервера был заполнен. Не понимаю, как поймать такие логи. Может, кто подсказать, как посмотреть эту информацию? Спасибо!

JaumeMas

Guest

07.10.2020 20:23:00

Я использую Graylog, развернутый на сервере TrueNAS, и он отлично работает для просмотра источников, назначений, имен хостов и всей прочей информации из syslog, конечно же, используя экстракторы, но всё нормально. Сейчас пытаюсь найти опции для Netflow, но с Unifi это сложно.

geekandi

Guest

11.06.2019 16:29:00

Одна из проблем, которые я заметил с новыми устройствами G2+, — это то, что некоторые настройки сбрасываются, или ПО не перезагружается после обновления. Например, snmpd приходится добавлять каждый раз. Я посмотрю, что можно сделать с rsyslog, и постараюсь настроить его лучше.

chaicka

Guest

11.06.2019 03:20:00

Вот в чем я хотел докопаться: с устаревшим syslog нет понятий «правильно» или «неправильно». В этом и проблема, когда хочешь делать с syslog-сообщениями что-то кроме того, чтобы их просто прочитал человек. Именно поэтому и был разработан RFC-5424. К слову, когда сообщение переписывается в формат RFC-5424, его гораздо легче обрабатывать разным системам сбора логов. Если UniFi-контроллер запущен на Linux, скорее всего уже используется rsyslog, ведь он стандартен для многих дистрибутивов. Добавив в конец /etc/rsyslog.conf вот это:

$RuleSet remote
*.info @@graylog.mydomain.com:514;RSYSLOG_SyslogProtocol23Format

$ModLoad imudp.so # включает прием UDP-сообщений syslog
$InputUDPServerBindRuleset remote
$UDPServerAddress A.B.C.D # слушать только основной IP-адрес
$UDPServerRun 514 # запуск UDP-сервера syslog на стандартном порте 514

— подставьте вместо A.B.C.D реальный IP-хоста, где работает rsyslogd, а вместо 'graylog.mydomain.com' — реальный адрес или имя хоста коллектора логов (graylog, synology и т. п.). Это effectively настроит rsyslogd как «переписыватель» для устаревших syslog-сообщений, посылаемых по UDP, чтобы они шли в коллектор уже в формате TCP по RFC-5424. Далее этот хост (A.B.C.D) указываете в настройках UniFi контроллера как сервер syslog. По умолчанию rsyslog не слушает удалённые подключения, так что конфликтов быть не должно. Но если у вас уже есть удалённый слушатель, возможен конфликт — можно сменить порт в строке UDPServerRun на другой, и тогда в контроллере надо будет тоже поменять порт. [Правка]: ещё нужно перезапустить rsyslogd, чтобы изменения вступили в силу, например так — sudo systemctl restart rsyslog (для дистрибутивов на systemd).

@waterside

А rsyslog есть в Cloud Key G1 и G2/G2+?
Если включить эту опцию (см. скриншот ниже) в UniFi Network контроллере или внести изменения через SSH/CLI на Cloud Key G1/G2/G2+, получится ли добиться того же результата?

chaicka

Guest

11.06.2019 03:07:00

Думаю, это хорошее обсуждение, где делятся разными точками зрения и глубокими подходами. Единственное, что хочу сказать: "UniFi" от UBNT совсем не унифицирован, там слишком много несоответствий и разрозненных частей.

@waterside, можно спросить? Я новичок и у меня есть Synology NAS. Какой самый простой способ или решение запустить rsyslog в качестве промежуточного слоя с минимальными трудозатратами на обслуживание, прежде чем отправлять данные, например, в Log Center (формат IETF) на Synology NAS? Запустить докер? Есть ли какие-то хорошие докеры для этого?

gh0stwr1terX

Guest

19.05.2018 23:34:00

TLS — это обязательное условие, если UBNT хочет выйти за пределы домашних пользователей и неконтролируемых клиентов. Сегодня любые регуляции, такие как HIPAA, PCI, FISMA, GLBA, SOX и другие, требуют использование шифрования везде и всюду. Там, где официальных требований нет, клиенты клиентов UBNT всё равно скорее всего потребуют шифрование, если они хоть немного разбираются.

Нет никаких причин, по которым устройства или производители на рынке не поддерживают Syslog через TLS — это уже просто неприемлемо. Я работаю инженером по безопасности мониторинга в компании из Fortune 100 облачного провайдера и каждый день вижу, как клиенты требуют, чтобы syslog-трафик шифровался так же, как и учетные данные.

geekandi

Guest

21.04.2018 13:55:00

Ха! У меня кое-что было настроено, но я на какое-то время отключил логирование и убрал дашборды. Я так и не написал об этом в своём блоге. Может, стоит снова это сделать. Посмотрю, сколько времени сегодня будет.

Sussox Guest	#8 21.04.2018 08:50:00 @geekandi Ты успел собрать какие-нибудь дашборды? Я отправляю логи в Sumo, но не знаю, как настроить дашборды. Есть ли у тебя какие-то запросы или советы, с чего начать? Спасибо!

Troon

Guest

02.10.2017 13:59:00

Как уже упоминалось, USG работает на rsyslog, а UAP — на более старом syslog. В таблице процессов UAP записано: 1184 user 1540 S /usr/bin/syslogd -n -O /var/log/messages -l 7 -s 200 -b 0 -L -R 123.123.123.123:514 -p "U7LT,f09fc2f058be,v3.8.14.6780", где 123.123.123.123 — это удалённая машина, принимающая syslog. В командной строке видно, что исходная строка захардкожена. Пока не удалось понять, откуда именно берётся эта командная строка.

skandshus Guest	#10 27.07.2017 11:37:00 Есть мысли по поводу моей «проблемы»? Надеюсь, кто-то ещё сталкивался с таким же.

skandshus

Guest

#11

24.07.2017 08:37:00

Я сталкиваюсь с той же проблемой... Ещё одна сложность в том, что если я удаляю все данные syslog на Synology, а также в приложении logcenter и в папке, куда я выбрал сохранять логи, данные всё равно остаются. То есть, если пытаться удалить logcenter и все логи и начать всё с нуля, в итоге получаешь дубли. Кто-нибудь нашёл способ на Synology действительно начать с чистого листа, с абсолютно свежими данными? Я, похоже, не могу найти такой способ. Сейчас у меня своя сеть из 5 устройств, но они дублируются, и syslog показывает 10 устройств.

emilstahl Guest	#12 23.07.2017 21:57:00 Мой хост UAP-AC-Lite в syslog — это публичный WAN IP-адрес, а источник — ("U7LT,802aa9999x99,v3.8.6.6650") (802aa9999x99 — это скрытый MAC-адрес). В то время как у USG 3 хост — это имя хоста (USG), а источник просто mcad. Кто-нибудь уже нашёл решение для такого поведения?

Читают тему (гостей: 1)