添加 Syslog 设备

    最后更新于：

    自动添加Syslog设备

    前提条件：点击此处配置设备上的syslog服务。

    当系统日志转发至EventLog Analyzer服务器时，可自动添加系统日志设备。此功能特别适用于无需人工干预即可批量添加多个系统日志设备。

    工作原理：

    当 syslog 数据包到达 EventLog Analyzer 服务器时，系统将尝试确定其源 IP 地址并解析为对应主机名。

    • 若解析成功：系统日志设备将使用解析后的主机名添加。
    • 若解析失败：将使用IP地址添加syslog设备。
    注意
    1. 请确保防火墙入站规则中默认端口：UDP-513,514、TCP-514处于开放状态。
    2. 若需配置TLS端口，请点击此处。
    3. 如果源IP地址或解析后的主机名已在数据库中存在，则传入日志将与该设备关联。

    手动添加Syslog设备

    在"管理设备"页面，切换至"Syslog设备"标签页，点击"+添加设备"按钮。

    在设备字段输入设备名称或IP地址，点击添加按钮。按以下步骤自动发现并添加网络中的Syslog设备：

    1. 在“添加Syslog设备”窗口中点击“发现并添加”链接。您可通过IP范围（起始IP至结束IP）或CIDR格式发现网络中的Syslog设备。
    2. 输入起始IP和结束IP或CIDR范围以发现Syslog设备，然后点击下一步。
    3. 选择SNMP凭据以自动发现网络中的Syslog设备。默认情况下，可使用公共SNMP凭据扫描网络中的Syslog设备。
    4. 您也可点击“+添加凭证”按钮添加新凭证。选择凭证后，点击“扫描”按钮即可自动发现指定IP或CIDR范围内的Syslog设备。
    5. 通过勾选对应复选框选择设备。您可使用搜索框快速查找设备，或通过设备类型和厂商进行筛选。
    6. 点击"添加设备"按钮将设备加入监控列表。

    添加Unix设备后，系统将提示您配置自动日志转发。

    注意：其他设备的手动配置请参阅此处说明。

    中继服务器配置

    使用场景：多个Syslog设备将数据包发送到单个中央Syslog服务器，该服务器再将其转发至EventLog Analyzer服务器。

    工作原理：

    前提条件：转发的syslog日志需符合RFC 3164标准，且EventLog Analyzer中必须启用对应的中继服务器配置。

    日志示例- <34>10月18日 22:00:15 rootmachine su: 'su root' 操作在/dev/pts/上失败

    注意
    • 主机名（rootmachine）从系统日志数据包中解析出来，系统日志设备将使用该主机名添加。
    • 若主机名已在数据库中存在，日志将映射至该设备。
    • syslog 设备可以是 Unix、Cisco、Fortinet、Palo Alto 等。

    DHCP配置

    使用场景：当syslog设备的IP地址因DHCP频繁变更时，每次IP变更且名称无法解析时，系统将自动添加具有新IP地址的新设备。

    工作原理：

    前提条件：所有系统日志设备转发至事件日志分析器的日志应符合标准RFC 3164规范，且需在事件日志分析器中启用对应的DHCP配置。

    示例日志- <34>10月18日 22:00:15 rootmachine su: 'su root' 操作在/dev/pts/8上失败

    注意
    • 系统日志设备可为 Unix、Cisco、Fortinet、Palo Alto 等类型。
    • 若主机名已在数据库中存在，则日志将映射至对应设备。