Konfigurieren der Citrix ADC-Appliance für die Überwachungsprotokollierung
Warnung:
Klassische Richtlinienausdrücke und ihre Verwendung sind ab Citrix ADC 12.0 Build 56.20 veraltet (von der Verwendung abgeraten, werden aber weiterhin unterstützt). Als Alternative empfiehlt Citrix, erweiterte Richtlinien zu verwenden. Weitere Informationen finden Sie unterErweiterte Richtlinien.
In der Auditprotokollierung werden Statusinformationen aus verschiedenen Modulen angezeigt, sodass ein Administrator den Ereignisverlauf in chronologischer Reihenfolge einsehen kann. Hauptbestandteile eines Prüfungsrahmens sind “Prüfungsaktion”, “Audit-Richtlinie”. “Audit-Aktion” beschreibt Konfigurationsinformationen des Überwachungsservers, während “Audit-Richtlinie” eine Bindungseinheit mit einer “Audit-Aktion” verknüpft. Die Prüfungsrichtlinien verwenden das Framework “Classic Policy Engine” (CPE) oder das Progress Integration (PI) -Framework, um “Prüfungsmaßnahmen” mit “globalen Systembindungsgesellschaften” zu verknüpfen.
Die Richtlinienrahmen unterscheiden sich jedoch voneinander darin, dass die Audit-Log-Richtlinien für globale Unternehmen verbindlich sind. Bisher unterstützte das Audit-Modul nur klassische Ausdrücke, jetzt unterstützt es sowohl klassische als auch erweiterte Richtlinienausdrücke. Derzeit können Sie mit dem erweiterten Ausdruck Audit-Log-Richtlinien nur an globale Systementitäten binden.
Hinweis
Wenn Sie eine Richtlinie an globale Entitäten binden, müssen Sie sie an eine globale Systementität desselben Ausdrucks binden. Beispielsweise können Sie eine klassische Richtlinie nicht an eine erweiterte globale Entität binden oder eine erweiterte Richtlinie an eine klassische globale Entität binden.
Außerdem können Sie nicht sowohl die klassische Überwachungsprotokollrichtlinie als auch die erweiterte Überwachungsprotokollrichtlinie an einen virtuellen Lastausgleichsserver binden.
Konfiguration von Audit-Log-Richtlinien in einem klassischen Richtlinienausdruck
Die Konfiguration der Auditprotokollierung in der klassischen Richtlinie besteht aus den folgenden Schritten:
- Konfiguration einer Audit-Log-Aktion. Sie können eine Überwachungsaktion für verschiedene Server und für verschiedene Protokollierungsstufen konfigurieren. “Audit-Aktion” beschreibt Konfigurationsinformationen des Überwachungsservers, während “Audit-Richtlinie” eine Bindungseinheit mit einer “Audit-Aktion” verknüpft. Standardmäßig verwenden SYSLOG und NSLOG nur TCP, um Protokollinformationen an die Protokollserver zu übertragen. TCP ist für die Übertragung vollständiger Daten zuverlässiger als UDP. Wenn Sie TCP für SYSLOG verwenden, können Sie das Pufferlimit auf der Citrix ADC-Appliance festlegen, um die Protokolle zu speichern. Danach werden die Protokolle an den SYSLOG-Server gesendet.
- Konfiguration der Audit-Log-Richtlinie. Sie können entweder SYSLOG-Richtlinien konfigurieren, um Nachrichten auf einem SYSLOG-Server zu protokollieren, oder eine NSLOG-Richtlinie, um Nachrichten auf einem NSLOG-Server zu protokollieren. Jede Richtlinie enthält eine Regel, die auf
true
oderns_true
für die zu protokollierenden Nachrichten festgelegt ist, sowie eine SYSLOG- oder NSLOG-Aktion. - Verbindliche Audit-Log-Richtlinien für globale Unternehmen. Sie müssen die Überwachungsprotokollrichtlinien global an globale Entitäten wie SYSTEM, VPN, Citrix ADC AAA usw. binden. Sie können dies tun, um die Protokollierung aller Citrix ADC-Systemereignisse zu aktivieren. Durch Definieren der Prioritätsstufe können Sie die Auswertungsreihenfolge für die Protokollierung des Audit-Servers festlegen. Priorität 0 ist die höchste und wird zuerst ausgewertet. Je höher die Prioritätszahl, desto niedriger ist die Priorität der Bewertung.
Jeder dieser Schritte wird in den folgenden Abschnitten erläutert.
Konfiguration der Audit-Log-Aktion
Um die SYSLOG-Aktion in einer erweiterten Richtlinieninfrastruktur über die CLI zu konfigurieren.
Hinweis
Mit der Citrix ADC-Appliance können Sie nur eine SYSLOG-Aktion für die IP-Adresse und den Port des SYSLOG-Servers konfigurieren. Die Appliance erlaubt es Ihnen nicht, mehrere SYSLOG-Aktionen für dieselbe Server-IP-Adresse und denselben Port zu konfigurieren.
Eine Syslog-Aktion enthält einen Verweis auf einen Syslog-Server. Es gibt an, welche Informationen protokolliert werden sollen, und erwähnt, wie diese Informationen protokolliert werden sollen.
Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um die Parameter festzulegen und die Konfiguration zu überprüfen:
- add audit syslogAction [-serverPort ] -logLevel [-dateFormat ( MMDDYYYY | DDMMYYYY )] [-transport ( TCP | UDP )]` - show audit syslogAction []
Konfigurieren Sie die NSLOG-Aktion in der erweiterten Richtlinieninfrastruktur über die CLI.
Eine ns-Protokollaktion enthält einen Verweis auf einen nslog-Server. Es gibt an, welche Informationen protokolliert werden sollen, und erwähnt, wie diese Informationen protokolliert werden sollen.
Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um die Parameter festzulegen und die Konfiguration zu überprüfen:
- add audit nslogAction [-serverPort ] -logLevel [-dateFormat ( MMDDYYYY | DDMMYYYY )] - show audit nslogAction []
Auditprotokollrichtlinien konfigurieren
Konfigurieren Sie die Auditprotokollrichtlinien in der klassischen Richtlinieninfrastruktur über die CLI.
Geben Sie in der Befehlszeile Folgendes ein:
- add audit syslogpolicy <-rule> - add audit nslogpolicy <-rule>
Verbindliche Audit-Syslog-Richtlinien zur Prüfung von syslog global
Binden Sie die Audit-Log-Richtlinie im Advanced Policy Framework über die CLI.
Geben Sie in der Befehlszeile Folgendes ein:
bind audit syslogGlobal
unbind audit syslogGlobal
Binden Sie die Audit-Log-Richtlinie im klassischen Policy-Framework über die CLI.
Geben Sie in der Befehlszeile Folgendes ein:
bind systemglobal
unbind systemglobal
Audit-Log-Richtlinien mit Advanced Policy Expression konfigurieren
Die Konfiguration der Auditprotokollierung in Advanced Policy besteht aus den folgenden Schritten:
- Konfiguration einer Audit-Log-Aktion. Sie können eine Überwachungsaktion für verschiedene Server und für verschiedene Protokollierungsstufen konfigurieren. “Audit-Aktion” beschreibt Konfigurationsinformationen des Überwachungsservers, während “Audit-Richtlinie” eine Bindungseinheit mit einer “Audit-Aktion” verknüpft. Standardmäßig verwenden SYSLOG und NSLOG nur TCP, um Protokollinformationen an die Protokollserver zu übertragen. TCP ist für die Übertragung vollständiger Daten zuverlässiger als UDP. Wenn Sie TCP für SYSLOG verwenden, können Sie das Pufferlimit auf der Citrix ADC-Appliance festlegen, um die Protokolle zu speichern. Danach werden die Protokolle an den SYSLOG-Server gesendet.
- Konfiguration der Audit-Log-Richtlinie. Sie können entweder SYSLOG-Richtlinien konfigurieren, um Nachrichten auf einem SYSLOG-Server zu protokollieren, oder eine NSLOG-Richtlinie, um Nachrichten auf einem NSLOG-Server zu protokollieren. Jede Richtlinie enthält eine Regel, die auf
true
oderns_true
für die zu protokollierenden Nachrichten festgelegt ist, sowie eine SYSLOG- oder NSLOG-Aktion. - Verbindliche Audit-Log-Richtlinien für globale Unternehmen. Sie müssen die Überwachungsprotokollrichtlinien global an die globale System-Entität binden, um die Protokollierung aller Citrix ADC-Systemereignisse zu ermöglichen. Durch Definieren der Prioritätsstufe können Sie die Auswertungsreihenfolge für die Protokollierung des Audit-Servers festlegen. Priorität 0 ist die höchste und wird zuerst ausgewertet. Je höher die Prioritätszahl, desto niedriger ist die Priorität der Bewertung.
Hinweis
Die Citrix ADC-Appliance wertet alle Richtlinien aus, die an true gebunden sind.
Konfiguration der Audit-Log-Aktion
Konfigurieren Sie die Syslog-Aktion in der erweiterten Richtlinieninfrastruktur über die CLI.
Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um die Parameter festzulegen und die Konfiguration zu überprüfen:
- add audit syslogAction [-serverPort ] -logLevel [-dateFormat ( MMDDYYYY | DDMMYYYY )] [-transport ( TCP | UDP )] - show audit syslogAction []
Konfigurieren Sie die NSLOG-Aktion in der erweiterten Richtlinieninfrastruktur über die CLI.
Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um die Parameter festzulegen und die Konfiguration zu überprüfen:
- add audit nslogAction [-serverPort ] -logLevel [-dateFormat ( MMDDYYYY | DDMMYYYY )] - show audit nslogAction []
Auditprotokollrichtlinien konfigurieren
Fügen Sie über die CLI eine Syslog-Audit-Aktion hinzu.
Geben Sie in der Befehlszeile Folgendes ein:
add audit syslogAction ( | (([-domainResolveRetry ]) | -lbVserverName ))[-serverPort ] -logLevel [-dateFormat ] [-logFacility ][-tcp ( NONE | ALL )] [-acl ( ENABLED | DISABLED )] [-timeZone ( GMT_TIME | LOCAL_TIME )][-userDefinedAuditlog ( YES | NO )] [-appflowExport ( ENABLED | DISABLED )] [-lsn ( ENABLED | DISABLED )][-alg ( ENABLED | DISABLED )] [-subscriberLog ( ENABLED | DISABLED )][-transport ( TCP | UDP )] [-tcpProfileName ][-maxLogDataSizeToHold
Beispiel
> add audit syslogaction audit-action1 10.102.1.1 -loglevel INFORMATIONAL -dateformat MMDDYYYY > add audit nslogAction nslog-action1 10.102.1.3 -serverport 520 -loglevel INFORMATIONAL -dateFormat MMDDYYYY > add audit syslogpolicy syslog-pol1 TRUE audit-action1 > add audit nslogPolicy nslog-pol1 TRUE nslog-action1 > bind system global nslog-pol1 -priority 20
Fügen Sie über die CLI eine nslog-Audit-Aktion hinzu.
Geben Sie in der Befehlszeile Folgendes ein:
add audit nslogAction ( | ([-domainResolveRetry ])) [-serverPort ] -logLevel ... [-dateFormat ][-logFacility ] [-tcp ( NONE | ALL )][-acl ( ENABLED | DISABLED )] [-timeZone ( GMT_TIME | LOCAL_TIME )][-userDefinedAuditlog ( YES | NO )][-appflowExport ( ENABLED | DISABLED )] [-lsn ( ENABLED | DISABLED )][-alg ( ENABLED | DISABLED )] [-subscriberLog ( ENABLED | DISABLED )]`
Verbindliche Audit-Log-Richtlinien für globale Unternehmen
Binden Sie die Syslog-Audit-Log-Richtlinie im Advanced Policy Framework über die CLI.
Geben Sie in der Befehlszeile Folgendes ein:
bind audit syslogGlobal
unbind audit syslogGlobal
Konfiguration der Audit-Log-Richtlinie超级死谷I
- Navigieren Sie zuKonfiguration>System>Auditing>Syslog.
- Wählen Siedie Registerkarte Server.
- Klicken Sie aufHinzufügen.
- Füllen Sie auf der Seite“Auditing Server erstellen“ die entsprechenden Felder aus und klicken Sie aufErstellen.
- Um die Richtlinie hinzuzufügen, wählen Sie die RegisterkarteRichtlinienaus und klicken Sie aufHinzufügen.
FüllenSie auf der Seite “Auditing Syslog-Richtlinieerstellen” die entsprechenden Felder aus und klicken Sie aufErstellen.
- Um die Richtlinie global zu binden, wählen SieAdvanced Policy Globale Bindingsaus der Dropdownliste aus. Wählen Sie die Richtliniebest_syslog_policy_everaus. Klicken Sie aufSelect.
- Wählen Sie in der Dropdownliste den Bindepunkt alsSYSTEM_GLOBALaus, klicken Sie aufBinden, und klicken Sie dann aufFertig.
Konfigurieren der richtlinienbasierten Protokollierung
您可以在richtlinienbasierte Protokollierung皮毛Rewrite- und Responder-Richtlinien konfigurieren. Überwachungsmeldungen werden dann in einem definierten Format protokolliert, wenn die Regel in einer Richtlinie auf TRUE ausgewertet wird. Um die richtlinienbasierte Protokollierung zu konfigurieren, konfigurieren Sie eine Überwachungsmeldungsaktion, die Standardsyntaxausdrücke verwendet, um das Format der Überwachungsmeldungen anzugeben. Und verknüpfen Sie die Aktion mit einer Richtlinie. Die Richtlinie kann entweder global oder an einen virtuellen Lastausgleich- oder Content Switching-Server gebunden sein. Sie können Audit-Message-Aktionen verwenden, um Nachrichten auf verschiedenen Protokollierungsebenen zu protokollieren, entweder nur im Syslog-Format oder sowohl im Syslog- als auch im neuen nslog-Format.
Voraussetzungen
- Die Option Konfigurierbare Protokollmeldungen (userDefinedAuditlog) ist für die Konfiguration des Überwachungsaktionsservers aktiviert, an den Sie die Protokolle in einem definierten Format senden möchten.
- Die zugehörige Prüfungsrichtlinie ist an das globale System gebunden.
Konfigurieren einer Aktion für Überwachungsnachrichten
Sie können Aktionen für Überwachungsnachrichten konfigurieren, um Nachrichten auf verschiedenen Protokollierungsebenen zu protokollieren, entweder nur im Syslog-Format oder sowohl im Syslog- als auch in neuen ns-Protokollformaten. Auditmeldungsaktionen verwenden Ausdrücke, um das Format der Auditmeldungen anzugeben.
Erstellen Sie eine Audit-Nachrichtenaktion über die CLI
Geben Sie in der Befehlszeile Folgendes ein:
add audit messageaction [-logtoNewnslog (YES|NO)] [-bypassSafetyCheck (YES|NO)]
add audit messageaction log-act1 CRITICAL '"Client:"+CLIENT.IP.SRC+" accessed "+HTTP.REQ.URL' -bypassSafetyCheck YES
Konfigurieren Sie eine Audit-Nachrichtenaktion über die GUI
Navigieren Sie zuSystem > Auditing > Nachrichtenaktionen, und erstellen Sie die Aktion “Überwachungsnachricht”.
Aktion für Audit-Nachrichten an eine Richtlinie binden
Nachdem Sie eine Überwachungsnachrichtenaktion erstellt haben, müssen Sie sie an eine Rewrite- oder Responderrichtlinie binden. Weitere Informationen zum Binden von Protokollnachrichtenaktionen an eine Rewrite- oder Responder Policy finden Sie unterRewriteoderResponder.