UDP -Syslog-Weiterleitung funktioniert nicht

• Die Firewall kommuniziert nicht mit dem über UDP konfigurierten Syslog-Server .
• Bei der Packet Capture (Paketdatenaufzeichnung, PCAP)/tcpdump wurde kein Datenverkehr erkannt.
• Beim Ausführen des Befehls „Debug Log-Receiver Statistics“ unter „External Forwarding Stats“ wird für Syslog ein Zähler von 0 angezeigt.

FW> debug log-receiver statistics
Logging statistics
------------------------------ -----------
Log incoming rate:             64/sec
Log written rate:              58/sec
Corrupted packets:             0
Corrupted URL packets:         0
Corrupted HTTP HDR packets:    0
Corrupted HTTP HDR Insert packets: 0
...
Netflow incoming count:        0
Log Forward count:             0
Log Forward discarded (queue full) count: 0
Log Forward discarded (send error) count: 0
Total logs not written due to disk unavailability: 0
----------------------------------------

External Forwarding stats:
      Type  Enqueue Count     Send Count     Drop Count    Queue Depth     Send Rate(last 1min)
    syslog              0              0              0              0                        0
      snmp              0              0              0              0                        0
     email              0              0              0              0                        0
       raw              0              0              0              0                        0
      http              0              0              0              0                        0
   autotag              0              0              0              0                        0
quarantine              0              0              0              0                        0

• Nachfolgend sind die Fehlernachrichten in logrcvr.log aufgeführt.

var/log/pan/logrcvr.log.old
2024-04-23 05:44:49.559 -0700 Error:  pan_log_query_parse_nolock(pan_log_query.c:13191): query: (All LogsFW)
2024-04-23 05:44:49.559 -0700 Error:  _query_grp_mgr_add_lq_query_str(pan_query_grp.c:490): Error parsing query:(All LogsFW) in grp_mgr:query-fsm-grp-mgr-0
2024-04-23 05:44:49.559 -0700 Error:  pan_query_grp_mgr_add_query_str(pan_query_grp.c:599): Error adding lq query to query_grp_mgr:query-fsm-grp-mgr-0
2024-04-23 05:44:49.559 -0700 Error:  pan_init_fsm_2(pan_log_handler.c:9499): Failed to add filter (All LogsFW) to query_grp_mgr
2024-04-23 05:44:49.560 -0700 Error:  _logrcvr_fsm_init(pan_log_receiver.c:21758): FSM init failed. Log forwarding will not work
2024-04-23 05:44:49.560 -0700 after init FSM in _logrcvr_fsm_init(): fsm: (nil), grp_mgr: (nil), match_arr: (nil)
2024-04-23 05:44:49.560 -0700 Error:  pan_log_config_phase1(pan_log_receiver.c:15326): could not initialize FSM, log forwarding will not work!

• Es sind mehrere Syslog-Serverprofile konfiguriert

• Das Profil „FW-DMZ-SYSLOG“ wird verwendet, um Protokolle an den entsprechenden Syslog-Server weiter .
• Auch wenn die Log-Einstellungen und Filter bezüglich des Profil „FW-DMZ-SYSLOG“ korrekt sind, funktioniert die Log-Weiterleitung dennoch nicht.

<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><send-syslog><member>: FW-DMZ-SYSLOG
<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><log-type>: traffic
<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><filter>: All Logs
<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><send-to-panorama>: no
<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><quarantine>: no

• PANOS
• Protokollweiterleitung
• Syslog

• Die gesamte Log-Weiterleitung durchläuft die FSM (Finite Status Machine), um zu bestimmen, ob die Weiterleitung erfolgen soll oder nicht. Die FSM wertet alle in den weiter definierten Filter aus.
• Wenn einer der Filter ungültig ist, wird das FSM nicht initialisiert und es erfolgt daher keine Log-Weiterleitung .
• Die laufende Konfiguration enthält eine ungültige Konfiguration für die Log-Weiterleitung. Der Filter für „FW-SYSLOG“ ist falsch. Es sollte „Alle Protokolle“ sein, nicht „Alle LogsFW“.

<shared><log-settings><system><match-list><entry name="FW-SYSLOG"><send-syslog><member>: FW-SYSLOG
<shared><log-settings><system><match-list><entry name="FW-SYSLOG"><filter>: All LogsFW
<shared><log-settings><system><match-list><entry name="SYSTEM-SYSLOG"><send-syslog><member>: FW-DMZ-SYSLOG
<shared><log-settings><system><match-list><entry name="SYSTEM-SYSLOG"><filter>: All Logs

1. Um den Filtertyp zu bearbeiten, gehen Sie zu „Protokolleinstellungen“ -> „System“ -> klicken Sie auf „Name“. Dadurch wird ein neues Fenster geöffnet.
2. Gehen Sie im Fenster „Protokolleinstellungen – System“ zu „Filter“ und wählen Sie „ALLE Protokolle“ aus.