El reenvío de syslog UDP no funciona

• El cortafuegos no se comunica con el servidor Syslog configurado a través de UDP.
• No se observó tráfico en la packet capture (captura de paquetes - pcap)/tcpdump.
• Al ejecutar el comando "debug log-receiver statistics" en "External Forwarding stats", hay un recuento de 0 para Syslog.

FW> debug log-receiver statistics
Logging statistics
------------------------------ -----------
Log incoming rate:             64/sec
Log written rate:              58/sec
Corrupted packets:             0
Corrupted URL packets:         0
Corrupted HTTP HDR packets:    0
Corrupted HTTP HDR Insert packets: 0
...
Netflow incoming count:        0
Log Forward count:             0
Log Forward discarded (queue full) count: 0
Log Forward discarded (send error) count: 0
Total logs not written due to disk unavailability: 0
----------------------------------------

External Forwarding stats:
      Type  Enqueue Count     Send Count     Drop Count    Queue Depth     Send Rate(last 1min)
    syslog              0              0              0              0                        0
      snmp              0              0              0              0                        0
     email              0              0              0              0                        0
       raw              0              0              0              0                        0
      http              0              0              0              0                        0
   autotag              0              0              0              0                        0
quarantine              0              0              0              0                        0

• A continuación se muestran los mensajes de error que se encuentran en logrcvr.log

var/log/pan/logrcvr.log.old
2024-04-23 05:44:49.559 -0700 Error:  pan_log_query_parse_nolock(pan_log_query.c:13191): query: (All LogsFW)
2024-04-23 05:44:49.559 -0700 Error:  _query_grp_mgr_add_lq_query_str(pan_query_grp.c:490): Error parsing query:(All LogsFW) in grp_mgr:query-fsm-grp-mgr-0
2024-04-23 05:44:49.559 -0700 Error:  pan_query_grp_mgr_add_query_str(pan_query_grp.c:599): Error adding lq query to query_grp_mgr:query-fsm-grp-mgr-0
2024-04-23 05:44:49.559 -0700 Error:  pan_init_fsm_2(pan_log_handler.c:9499): Failed to add filter (All LogsFW) to query_grp_mgr
2024-04-23 05:44:49.560 -0700 Error:  _logrcvr_fsm_init(pan_log_receiver.c:21758): FSM init failed. Log forwarding will not work
2024-04-23 05:44:49.560 -0700 after init FSM in _logrcvr_fsm_init(): fsm: (nil), grp_mgr: (nil), match_arr: (nil)
2024-04-23 05:44:49.560 -0700 Error:  pan_log_config_phase1(pan_log_receiver.c:15326): could not initialize FSM, log forwarding will not work!

• Se configuran varios perfiles de servidor Syslog

• El perfil "FW-DMZ-SYSLOG" se utiliza para reenviar registros al servidor Syslog correspondiente.
• Aunque la configuración del registro y el filtro relacionados con el perfil "FW-DMZ-SYSLOG" son correctos, el reenvío de logs aún no funciona.

<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><send-syslog><member>: FW-DMZ-SYSLOG
<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><log-type>: traffic
<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><filter>: All Logs
<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><send-to-panorama>: no
<shared><log-settings><profiles><entry name="LogForward"><match-list><entry name="LogForward-traffic"><quarantine>: no

• PANORAMA
• Reenvío de registros
• Registro del sistema

• Todo el reenvío de logs pasa por la FSM (máquina de estado finitos) para determinar si se debe realizar el reenvío o no. La FSM evalúa todos los filtros definidos en la configuración de reenviar de registros.
• Si alguno de los filtros no es válido, el FSM no se inicializa y, por lo tanto, nunca se realizará ningún reenvío de logs .
• La configuración en ejecución contiene una configuración no válida para el reenvío de logs. El filtro para "FW-SYSLOG" es incorrecto. Debería ser "Todos los registros", no "Todos los registrosFW".

<shared><log-settings><system><match-list><entry name="FW-SYSLOG"><send-syslog><member>: FW-SYSLOG
<shared><log-settings><system><match-list><entry name="FW-SYSLOG"><filter>: All LogsFW
<shared><log-settings><system><match-list><entry name="SYSTEM-SYSLOG"><send-syslog><member>: FW-DMZ-SYSLOG
<shared><log-settings><system><match-list><entry name="SYSTEM-SYSLOG"><filter>: All Logs

1. Para editar el tipo de filtro, vaya a "Configuración de registro" -> "Sistema -> haga clic en "nombre". Esto abrirá una nueva ventana.
2. En la ventana "Configuración de registros - Sistema", vaya a "Filtros" y seleccione "TODOS los registros".