Firewall은 감사 로그, 규칙 메시지 로그 및 시스템 이벤트 로그와 같은 로그 파일을 생성하고 저장합니다. 방화벽을 사용하도록 설정된 각 클러스터에 대해 syslog 서버를 구성해야 합니다. syslog 서버는 Syslog.global.logHost 특성에 지정되어 있습니다.
방화벽은 다음 표에 설명된 대로 로그를 생성합니다.
| 로그 유형 | 설명 | 위치 |
|---|---|---|
| 규칙 메시지 로그 | 각 규칙에 대해 허용 또는 거부된 트래픽 같은 모든 액세스 결정 사항이 포함됩니다(해당 규칙에 대한 로깅이 사용하도록 설정된 경우). 로깅이 사용되도록 설정된 규칙에 대한 DFW 패킷 로그를 포함합니다. | /var/log/dfwpktlogs.log |
| 감사 로그 | 관리 로그 및 분산 방화벽 구성 변경 사항이 포함됩니다. | /home/secureall/secureall/logs/vsm.log |
| 시스템 이벤트 로그 | 적용된 분산 방화벽 구성, 생성 또는 삭제되거나 실패한 필터, 보안 그룹에 추가된 가상 시스템 등이 포함됩니다. | /home/secureall/secureall/logs/vsm.log |
| 데이터부/VMKernel 로그 | 방화벽 커널 모듈(VSIP)과 관련된 작업을 캡처합니다. 시스템에서 생성된 메시지에 대한 로그 항목이 포함됩니다. | /var/log/vmkernel.log |
| 메시지 버스 클라이언트/VSFWD 로그 | 방화벽 에이전트의 활동을 캡처합니다. | /var/log/vsfwd.log |
규칙 메시지 로그
규칙 메시지 로그에는 각 규칙에 대해 허용 또는 거부된 트래픽 같은 모든 액세스 결정 사항이 포함됩니다(해당 규칙에 대한 로깅이 사용하도록 설정된 경우). 이러한 로그는 각 호스트의 /var/log/dfwpktlogs.log에 저장됩니다.
# more /var/log/dfwpktlogs.log 2015-03-10T03:22:22.671Z INET match DROP domain-c7/1002 IN 242 UDP 192.168.110.10/138->192.168.110.255/138 # more /var/log/dfwpktlogs.log 2017-04-11T21:09:59.877Z ESXi_FQDN dfwpktlogs: 50047 INET TERM domain-c1/1001 IN TCP RST 10.1.2.3/33491->10.4.5.6/10001 22/14 7684/1070
자세한 예:
2017-10-19T22:38:05.586Z 58734 INET match PASS domain-c8/1006 OUT 84 ICMP 172.18.8.121->172.18.8.119 RULE_TAG 2017-10-19T22:38:08.723Z 58734 INET match PASS domain-c8/1006 OUT 60 TCP 172.18.8.121/36485->172.18.8.119/22 S RULE_TAG 2017-10-19T22:38:18.785Z 58734 INET TERM domain-c8/1006 OUT ICMP 8 0 172.18.8.121->172.18.8.119 2/2 168/168 RULE_TAG 2017-10-19T22:38:20.789Z 58734 INET TERM domain-c8/1006 OUT TCP FIN 172.18.8.121/36484->172.18.8.119/22 44/33 4965/5009 RULE_TAG
- 1002는 분산 방화벽 규칙 ID입니다.
- domain-c7은 vCenter MOB(Managed Object Browser)에서의 클러스터 ID입니다.
- 192.168.110.10/138은 소스 IP 주소입니다.
- 192.168.110.255/138은 대상 IP 주소입니다.
- RULE_TAG는 방화벽 규칙을 추가 또는 편집하는 동안 태그 (Tag) 텍스트 상자에 추가하는 텍스트의 예입니다.
# tail -f /var/log/dfwpktlogs.log | grep 192.168.110.10 2015-03-10T03:20:31.274Z INET match DROP domain-c27/1002 IN 60 PROTO 1 192.168.110.10->172.16.10.12 2015-03-10T03:20:35.794Z INET match DROP domain-c27/1002 IN 60 PROTO 1 192.168.110.10->172.16.10.12
다음 표에서는 방화벽 로그 메시지의 텍스트 상자에 대해 설명합니다.
| 구성 요소 | 예제 값 |
|---|---|
| 타임 스탬프 | 2017-04-11T21:09:59 |
| 방화벽 관련 부분 | 877Z ESXi_FQDN dfwpktlogs: 50047 INET TERM domain-c1/1001 IN TCP RST 10.1.2.3/33491->10.4.5.6/10001 22/14 7684/1070 |
| 엔티티 | 가능한 값 |
|---|---|
| 필터 해시 | 필터 이름 및 기타 정보를 가져오는 데 사용할 수 있는 숫자입니다. |
| AF 값 | INET, INET6 |
| 이유 |
|
| 작업 |
|
| 규칙 집합 및 규칙 ID | 규칙 집합/규칙 ID |
| 방향 | IN, OUT |
| 패킷 길이 | 길이 |
| 프로토콜 | TCP, UDP, ICMP 또는 PROTO(프로토콜 번호) TCP 연결의 경우 연결이 종료되는 실제 이유는 키워드 TCP 다음에 표시됩니다. TERM이 TCP 세션의 원인인 경우 PROTO 행에 추가 설명이 표시됩니다. TCP 연결 종료의 가능한 원인에는 RST(TCP RST 패킷), FIN(FIN TCP 패킷) 및 TIMEOUT(너무 오랫동안 유휴 상태임)이 포함됩니다. 위 예제에서는 RST입니다. 따라서 재설정해야 하는 연결에 RST 패킷이 있음을 의미합니다. TCP 이외의 연결(UDP, ICMP 또는 다른 프로토콜)에서는 연결 종료 이유가 TIMEOUT뿐입니다. |
| 소스 IP 주소 및 포트 | IP 주소/포트 |
| 대상 IP 주소 및 포트 | IP 주소/포트 |
| TCP 플래그 | S (SYN), SA (SYN-ACK), A (ACK), P (PUSH), U (URGENT), F (FIN), R (RESET) |
| 패킷 수 | 패킷의 수입니다. 22/14 - 수신 패킷/송신 패킷 |
| 바이트 수 | 바이트의 수입니다. 7684/1070 - 수신 바이트/송신 바이트 |
- 으로 이동합니다.
- 일반 (General) 탭으로 이동합니다.
- 로깅을 사용하도록 설정합니다.
NSX 버전 절차 NSX 6.4.1 이상 추가 (More)>사용 (Enable)>규칙 로그 사용 (Enable Rule Logs)을 클릭합니다. NSX 6.4.0 - 페이지에서 로그 (Log) 열을 사용하도록 설정합니다.
- [로그] 테이블 셀 위로 마우스를 이동하고 연필 아이콘을 클릭하여 로깅을 사용하도록 규칙을 설정합니다.
감사 및 시스템 이벤트 로그
감사 로그에는 관리 로그 및 분산 방화벽 구성 변경 사항이 포함됩니다. 이 로그는 /home/secureall/secureall/logs/vsm.log에 저장됩니다.
시스템 이벤트 로그에는 적용된 분산 방화벽 구성, 생성 또는 삭제되거나 실패한 필터, 보안 그룹에 추가된 가상 시스템 등이 포함됩니다. 이러한 로그는 /home/secureall/secureall/logs/vsm.log에 저장됩니다.
vSphere Web Client에서 감사 및 시스템 이벤트 로그를 보려면 로 이동합니다. 모니터링 (Monitor) 탭에서 NSX Manager의 IP 주소를 선택합니다.
