路由器交换机防火墙等网络设备的系统日志对于排错是非常重要的。虽然这些网络设备本身可以存储日志,但是系统自身存储的日志一般保存时间不超过24小时,并且仅仅以缓存的形式保存在内存里,如果设备关机又重启,之前系统日志就不存在了!
![6ebdd8844c41b611f6f20db9535f9ab7.png](https://i-blog.csdnimg.cn/blog_migrate/d34d3a8d33a350f98be58d5536d4344b.jpeg)
能不能专门找个服务器或者PC用来收集系统的日志呢?当然可以。
思科早期有一款产品叫MARS(Cisco Security Monitoring, Analysis, and Response System),这块产品就是用来收集并且分析网络硬件设备的日志的,当然这款产品已经停止销售。他有什么作用呢?
请听我说:
假设你的网络环境是这样的,外网--IPS入侵防御系统-出口防火墙--网关路由器-三层交换机-linux服务器。
如果有一天,你的linux服务器受到外网的攻击,IPS入侵防御系统肯定会报警并且产生日志,出口防火墙如果做了相应的安全策略也会报警并且产生日志,网关路由器会产生Syslog日志,三层交换机也会产生Syslog日志,Linux服务器可能会因此停止服务器,这么多的设备日志,怎么确定是网络环境哪里出现的问题呢,如何判断攻击的源头,对于管理人员来讲,也是一件不容易的事情,思科的MARS就是为此而产生的,MARS可以追踪并且分析所有设备的日志,找到产生这个攻击事件的源设备并且分析原因,然后把分析结果以报告的形式,呈现给网络管理人员。当然思科现在已经不做这款产品了,IBM现在在做相关的产品,并且做的还不错。
![f083aafe0bdbaab076af21dc6e64be0d.png](https://i-blog.csdnimg.cn/blog_migrate/f2de782ad8000f1880368893ce95f388.jpeg)
类似的软件有很多,比如3Cdeamon,Eventlog Analyzer,Splunk等等,今天我要介绍的这块是Kiwi Syslog。
![295dd03865deca18c350ce0977b7dcad.png](https://i-blog.csdnimg.cn/blog_migrate/a0acb7770026a9734fe3af2f90f2acc0.jpeg)
如果有谁需要这款软件的,可以评论区留言,我发给你。
Kiwi Syslog Server 是一款经济实惠的 syslog 管理工具,可以接收跨网络设备(路由器、交换机、防火墙等)、服务器(Windows 、Linux服务器)的日志,对日志集中存储和管理以及报警。
主要功能:
- 集中管理 syslog 消息
- 基于 syslog 消息接收实时警报
- 自动响应 syslog 消息
- 为法规合规性存储并存档日志
- 通过电子邮件计划生成 syslog 报告
借助安全的 Web 访问,可在任何位置查看 syslog 数据
![6d5b6fa2ba9de56104375b44bf4b5a98.png](https://i-blog.csdnimg.cn/blog_migrate/a8e81fdc7c82cc781df1e40fb9f3547b.jpeg)
下面我演示一下这款软件具体如何收集系统日志,这里我使用GNS3模拟器和本地PC的物理网卡做个桥接。相当于Kiwi Syslog状态我的物理上PC上,用它去收集GNS3里面某一台路由器或者三层交换机的日志信息。要想收集成功,首先确保网络是通的,也就是GNS3里面的路由器需要和我本机互通。看下面的拓扑图:
![b5c8afea6db3e7a4162867cdb7bce283.png](https://i-blog.csdnimg.cn/blog_migrate/b6c7ab64aa00935578be5cd07f108e10.jpeg)
首先使用C1把R3和笔记本的无线网卡做桥接,方法如下:
![909d73350549ed38f820acb15f3828a8.png](https://i-blog.csdnimg.cn/blog_migrate/d086d9818b61b0c0abeab596865b78d0.jpeg)
![75444a92a0656c71c68efb76c0945824.png](https://i-blog.csdnimg.cn/blog_migrate/c13d59a0ae3a7e3eb80ae6d206fff816.jpeg)
![1ba570c76cbcf63fc0aeaa031232826f.png](https://i-blog.csdnimg.cn/blog_migrate/080fd8ffb0073c08ee83d79befd53a08.jpeg)
R3用F3/0口连接C1的无线网卡,下面的字符串是无线网卡WLAN的标识。
查看一下笔记本无线网卡的IP地址,如下:
![b999274a5e8238acd56eb25bfe852a33.png](https://i-blog.csdnimg.cn/blog_migrate/55b811ab0e31eb7c560a9f2670aee9cd.jpeg)
R3和本机的物理无线网卡桥接,需要给R3的f3/0配置一个相同网段的IP地址,配置方法如下:
![603c07f3093eb93bc6b5bbcf53ffa2d7.png](https://i-blog.csdnimg.cn/blog_migrate/246d7f456aa349477fb4e75ae699b6cd.jpeg)
测试连通性:
![1d1f788d28db5cf84befc2d8f6f2fb62.png](https://i-blog.csdnimg.cn/blog_migrate/9b658ecd6e25479bcfc348938d4a7abe.jpeg)
到此,网络已经连通,接下来就是要把R3产生的Syslog日志信息发送到Kiwi Syslog服务器上。
打开笔记本上面的Kiwi Syslog,如下:
![27c830735dc4d19030564beace132194.png](https://i-blog.csdnimg.cn/blog_migrate/bff76fa167651d96aff5bc394ce7ebbb.jpeg)
![4e5b820fb404c49f82be3501be98ae4a.png](https://i-blog.csdnimg.cn/blog_migrate/d93e9192bc127d66fcbe7e7c5a0684de.jpeg)
配置R3吗,使R3把Syslog日志发送到服务器,如下:
![115ea652da15353c4a189412c68f6730.png](https://i-blog.csdnimg.cn/blog_migrate/79f4ea64407013adb519e51d623bc6a0.jpeg)
做日志发送测试,我在R3上再配置几个环回接口,然后再服务器上看日志信息,如下:
![1ae7a364a77ccd17b8dfb7dc865c95bc.png](https://i-blog.csdnimg.cn/blog_migrate/5558f5f1e0c0452f64dc689724e0d62c.jpeg)
OK,实验到此为止,希望对大家学习有帮助,谢谢。