So richten Sie die Syslog-Überwachung über TLS
65627
Created On 01/14/21 17:27 PM - Last Modified 03/02/23 03:09 AM
Objective
In diesem Artikel erfahren Sie, wie Sie ein Syslog-Überwachungsprofil über TLSeinrichten.
Wenn Syslog over TLS aktiviert ist, dient der als Client, der firewall Prozess erfordert einen vertrauenswürdigen Root CA , um den Client und das Serverzertifikat zu signieren.
Der Syslog-Server verwendet das Zertifikat, um zu überprüfen, ob er firewall für die Kommunikation mit dem Syslog-Server autorisiert ist.
Der Syslog-Server und der sendende firewall Server müssen über Zertifikate verfügen, die von derselben vertrauenswürdigen Zertifizierungsstelle (CA) signiert wurden.
Alternativ können Sie ein selbstsigniertes Zertifikat auf dem generieren, das Zertifikat aus dem firewallfirewallexportieren und in den Syslog-Server importieren.
Environment
- PAN-OS
- Firewall
- Panorama
- Syslog-Server
Procedure
Generieren eines Clientzertifikats
- Generieren Sie auf dem ein Zertifikat, das für die firewallClientauthentifizierung verwendet werden soll. Beachten Sie, dass das CN für dieses Zertifikat mit der Adresse der firewallIP für die Syslog-Konnektivität festgelegten Schnittstelle von stimmen muss.
- Sobald das Zertifikat generiert ist, klicken Sie auf den Zertifikatsnamen, um die Eigenschaften zu öffnen.
- Aktivieren Sie die Option "Zertifikat für sicheres Syslog" auf dem Zertifikat. Dadurch wird das Zertifikat markiert, das für SSL den Handshake verwendet werden soll.
- Klicken Sie auf OK.
Erstellen des Syslog-Profils
- Gehen Sie zu Gerät> Serverprofil> Syslog
- Klicken Sie auf Hinzufügen
- Angeben eines Namens für das Profil
- Geben Sie unter dem Syslog-Server die FQDN/IP Adresse des Syslog-Servers ein.
- Wählen Sie für das Feld Transport die Option SSLaus. Die Portnummer wird automatisch ausgefüllt (Standardport ist 6514)
- Wählen Sie das Format und die Funktion nach Bedarf aus.
- Klicken Sie auf Ok
Generieren des Syslog-Zertifikats
Wenn Sie ein Selbstsignaturzertifikat verwenden, Generieren Sie ein Serverzertifikat, das von demselben Stammzertifikat wie das Clientzertifikat CA signiert wurde.
- Gehen Sie zu Gerät> Zertifikat
- Klicken Sie auf Generieren.
- Geben Sie einen Namen für das Zertifikat an.
- Geben Sie für den allgemeinen Namen dieselbe FQDNAdresseIP an, die im Syslog-Profil verwendet wird.
- Geben Sie nach Bedarf weitere Attribute an.
- Klicken Sie auf Generieren.
- Exportieren Sie dieses Zertifikat mit dem privaten Schlüssel und importieren Sie es auf den Syslog-Server.
- Übernehmen Sie Ihre Änderungen
Additional Information
Überwachen Sie das Systemprotokoll auf eine erfolgreiche Verbindung oder auf Fehler.
Hinweis: Legen Sie auf dem Syslog-Server das benutzerdefinierte Zertifikat fest, das für die Syslog-Authentifizierung SSL verwendet werden soll.
Weitere Informationen finden Sie unter Konfigurieren der Syslog-Überwachung.