无法保存 Syslog 服务器配置文件，并显示错误“操作失败：节点最多可以是 2048 个字符”
6696
Created On 03/21/23 19:16 PM - Last Modified 02/02/24 06:10 AM
Symptom
- 配置 Syslog 服务器配置文件
- 配置后单击“确定”。
- 显示错误消息“操作失败：节点最多可以是 2048 个字符”消息
示例：在下面的示例中，威胁日志格式的当前长度为 2344 个字符，并显示错误消息。
Environment
- Palo Alto 防火墙或全景
- PAN-OS 10.2.0 版本
- Syslog 配置文件
Cause
- CEF 自定义日志格式已在 syslog 服务器配置文件配置中定义
- 其中一些的长度已超过支持的字符数 （2048）
Resolution
从导致问题的 CEF 样式格式中删除不可打印的字符。
- 步骤1. 确定导致问题的日志类型。 这可以在尝试保存 Syslog 服务器配置文件配置时收到的“操作失败”窗口中找到。
- 步骤2。 在 “Syslog Server Profile ”窗口中，导航到 “自定义日志格式” 选项卡，然后查找手头的日志类型。 单击日志格式区域进行编辑。
- 步骤3。 在 “编辑日志格式 ”窗口中，复制 CEF 自定义日志格式并将其粘贴到文本编辑器（如 Notepad++ 或 Sublime Text）中。
- 步骤4。 启用文本编辑器以显示不可打印的字符。 直接从 PAN-OS 集成 PDF 指南复制/粘贴 CEF 日志格式时，通常会看到 CR/LF 字符附加到每行的末尾。
显示不可打印字符的过程在文本编辑器之间是不同的。 对于 Notepad++，导航到“查看”>“显示符号”>“显示所有字符”。
- 第5步。 使用文本编辑器手动删除 CR/LF 字符，并将清除的输出粘贴到“ 编辑日志格式 ”窗口中。 选择“确定”保存更改，然后在“Syslog 服务器配置文件”窗口中选择“确定”。
- 第6步。 如果删除不可打印的字符后问题仍然存在，则需要从日志中删除某些字段，以继续将长度减少到 2048 个字符以下。
在此示例中，已从威胁日志中删除了以下字段：
PanDstEDL=$dst_edl PanGPHostID=$hostid PanEPSerial=$serialnumber PanSrcDAG=$src_dag PanDstDAG=$dst_dag PanHASessionOwner=$session_owner PanTimeHighRes=$high_res_timestamp PanASServiceType=$nssai_sst PanASServiceDiff=$nssai_sd
有关每个字段的描述，请参阅 系统日志字段描述 ，具体取决于日志类型：
- 第 7 步。 将清除的输出粘贴到 “编辑日志格式 ”窗口中。 选择“确定”保存更改，然后在“Syslog 服务器配置文件”窗口中选择“确定”。 如果 CEF 样式格式的长度小于 2048 个字符，则应保存配置，而不会出现错误。
Additional Information
CEF 配置指南
中记录了该信息：从版本 10.0 开始，日志类型（流量、威胁、URL、解密）记录的日志格式超过了防火墙和全景图上的“自定义日志格式”选项卡中支持的最大 2048 个字符。 请根据您的要求选择 CEF 键和值以将字符数限制为 2048。