Ein LEF-Profil ist ein Konfigurationsobjekt auf einem Gerät mit dem Betriebssystem „ Versa “ (VOS), das festlegt, welche Protokoll-Exportvorlage – IPFIX oder syslog – und welcher Collector oder welche Collector-Gruppe die exportierten Protokolle eines Mandanten empfängt. Administratoren ordnen ein LEF-Profil einer Funktion, einem Dienst oder einer Richtlinienregel zu oder legen eines als Standard für die Organisation fest.
Die wichtigsten Erkenntnisse
- Ein LEF-Profil teilt einem VOS-Gerät mit, wohin und wie Protokolle exportiert werden sollen.
- Dabei wird eine Protokoll-Exportvorlage (IPFIX oder syslog) mit einem Collector verknüpft.
- Pro Mandant kann ein LEF-Profil als Standardprofil festgelegt werden.
- Funktionen, Dienste und Richtlinien beziehen sich jeweils auf ein LEF-Profil.
- Collectors können zur Gewährleistung einer hohen Verfügbarkeit über verschiedene Standorte hinweg gruppiert werden.
Auf dieser Seite: Warum das wichtig istSo funktioniert esArtenLEF-Profil & VersaHäufig gestellte Fragen
Warum ist ein LEF-Profil wichtig?
Standardmäßig exportieren VOS-Geräte überhaupt keine Protokolldaten. Jede Funktion und jeder Dienst auf dem Gerät generiert intern Protokolle, doch nichts verlässt das Gerät in Richtung Analytics, eines Syslog-Servers oder eines NetFlow-Kollektors, bis ein Administrator explizit eine Verbindung zu einem Ziel herstellt – und das LEF-Profil ist das Objekt, das diese Verbindung herstellt. Ohne ein solches Profil bleiben Dashboards leer, Berichte können auf keine Daten zurückgreifen, und bei der Fehlerbehebung einer Sitzung oder eines Richtlinientreffers gibt es keine Protokollspur, der man folgen könnte.
Das LEF-Profil enthält zudem die betrieblichen Entscheidungen, die den Log-Export in großem Maßstab nutzbar machen: Welcher Collector oder welche Collector-Gruppe den Datenverkehr empfängt und ob TCP oder UDP, Syslog oder IPFIX das richtige Transportprotokoll für dieses Ziel ist. In einer mandantenfähigen Bereitstellung ist dies umso wichtiger – die Logs jedes Mandanten können an seinen eigenen Collector weitergeleitet werden, sodass ein Anbieter, der viele Kunden auf einer gemeinsam genutzten Infrastruktur hostet, die Log-Streams jedes Mandanten dennoch getrennt halten und korrekt zuordnen kann.
Die richtige Konfiguration des LEF-Profils sorgt zudem dafür, dass das Protokollvolumen überschaubar bleibt: Ein Profil mit dem falschen Collector oder gar keinem Collector überflutet entweder das falsche Ziel oder lässt Daten unbemerkt weg, von denen die Betreiber annehmen, dass sie erfasst werden.
Was ist ein LEF-Profil?
Ein LEF-Profil steht an der Spitze einer kleinen Konfigurationskette. Zunächst wird in einer Vorlage das Exportformat festgelegt – IPFIX für Analytics-Knoten und NetFlow-Kollektoren oder Syslog für Syslog-Server. Anschließend definiert ein Kollektor ein Ziel: eine IP-Adresse oder einen FQDN, einen Port und ein Transportprotokoll (TCP oder UDP), wobei häufig auf einen Application-Delivery-Controller-Dienst verwiesen wird, der Verbindungen auf mehrere Kollektor-Knoten verteilt. Kollektoren können zur Gewährleistung hoher Verfügbarkeit zu einer Kollektorgruppe zusammengefasst werden, sodass ein Backup-Ziel die Funktion übernimmt, falls das primäre Ziel nicht erreichbar ist.
Das LEF-Profil selbst verweist auf einen Kollektor oder eine Kollektorgruppe und enthält einen Namen, eine Beschreibung sowie ein optionales Tag. Es kann als Standardprofil der Organisation oder separat als Standard speziell für Alarmprotokolle festgelegt werden. Nach der Konfiguration wird das Profil überall dort ausgewählt, wo eine Funktion, ein Dienst oder eine Richtlinienregel ihre Protokolle an einen bestimmten Ort senden muss.
Arten von LEF-Profilen
In der Dokumentation werden LEF-Profile anhand ihrer Funktion beschrieben und nicht anhand einer festen Kategorieliste. Ein Standard-LEF-Profil dient als organisationsweite Ausweichlösung: Sobald es zugewiesen ist, empfängt es automatisch Alarmprotokolle, LTE-Zusammenfassungsprotokolle, MOS-Zusammenfassungsprotokolle, SD-WAN-SLA-Metriken, Traffic-Conditioning-Protokolle und Systemprotokolle, ohne dass eine weitere Konfiguration pro Funktion erforderlich ist. Ein Standardprofil für Alarme ist eine speziellere Variante, die seit Release 22.1.1 verfügbar ist und es ermöglicht, Alarmprotokolle an ein anderes Ziel als den allgemeinen Standard zu leiten – diese Rolle kann jeweils nur von einem Profil übernommen werden.
Über die Standardeinstellungen hinaus wird bei der Konfiguration einer einzelnen Funktion, eines Dienstes oder einer Richtlinienregel explizit ein funktions- oder richtlinienspezifisches LEF-Profil ausgewählt – ATP, CGNAT, DLP, DNS-Filterung, EIP, Firewall-Regeln, Paketerfassung und Richtlinien zur Verkehrsüberwachung verfügen jeweils über ein eigenes LEF-Profilfeld, wodurch dieser Protokollstrom die Standardeinstellung außer Kraft setzen und an einen völlig anderen Kollektor weitergeleitet werden kann.
LEF-Profil & Versa
LEF-Profile werden in Director unter „Konfiguration“ > „Objekte & Konnektoren“ > „Konnektoren“ > „Berichterstellung“ > „Protokoll-Exportfunktion“ auf der Registerkarte „Profile“ konfiguriert, nachdem die Vorlage, der Kollektor und (optional) die Kollektorgruppe eingerichtet wurden – die Vorgehensweise wird im Abschnitt „Konfigurieren der Protokoll-Exportfunktion“ beschrieben. Nach der Erstellung wird ein LEF-Profil plattformübergreifend ausgewählt: in NGFW-Sicherheitsrichtlinienregeln, Protokollierungssteuerungseinstellungen, ATP- und DLP-Profilen, DNS- und Dateifilterung, EIP-Profilen, Paketerfassungsregeln und Richtlinien zur Verkehrsüberwachung, wie unter „Anwenden der Protokoll-Exportfunktion“ ausführlich beschrieben.
Die Mandantenfähigkeit ist in das Modell integriert: Ein Anbieter kann jedem Mandanten ein eigenes Standard-LEF-Profil und einen eigenen Collector zuweisen, wodurch der Log-Stream jedes Kunden isoliert bleibt, selbst wenn die zugrunde liegende Gateway-Hardware und die Analytics-Infrastruktur gemeinsam genutzt werden.
Häufig gestellte Fragen
Was ist der Unterschied zwischen einem LEF-Profil und einem LEF-Kollektor?
Ein Collector definiert ein Ziel – eine IP-Adresse oder einen FQDN, einen Port und ein Transportprotokoll, an das die Protokolle gesendet werden. Ein LEF-Profil ist das Objekt, auf das Funktionen und Richtlinien tatsächlich verweisen; es verweist auf einen Collector (oder eine Collector-Gruppe) und ergänzt diesen um Einstellungen für die Benennung, die Kennzeichnung und die Standardrolle.
Kann ein VOS-Gerät mehr als ein LEF-Profil haben?
Ja. Ein Gerät kann über mehrere LEF-Profile verfügen, die jeweils auf einen anderen Kollektor oder eine andere Kollektorgruppe verweisen. Eines davon kann als Standardprofil der Organisation festgelegt werden, und optional kann ein weiteres Profil speziell als Standard für Alarmprotokolle festgelegt werden, während andere Profile für einzelne Funktionen oder Richtlinienregeln reserviert sind.
Was passiert, wenn auf einem VOS-Gerät kein LEF-Profil konfiguriert ist?
Es werden keine Daten exportiert. VOS-Geräte erstellen unabhängig von ihrer Konfiguration intern Protokolle; ohne ein Standard-LEF-Profil, das auf einen Kollektor verweist, gelangen diese Daten jedoch weder an Analytics noch an einen Syslog-Server oder einen NetFlow-Kollektor, sodass Dashboards und Berichte leer bleiben.
Kann ein LEF-Profil Protokolle an mehr als ein Ziel senden?
Ja, indirekt. Ein LEF-Profil verweist auf eine Kollektorgruppe statt auf einen einzelnen Kollektor, und Kollektorgruppen können zur Gewährleistung einer hohen Verfügbarkeit mehrere Ziele umfassen. Ab Version 21.2.1 werden auch Kollektorgruppenlisten unterstützt, sodass Protokolle von einem Profil aus an mehrere Gruppen gesendet werden können.
Welche Protokolltypen werden automatisch exportiert, ohne dass eine zusätzliche Konfiguration pro Funktion erforderlich ist?
Sobald ein Standard-LEF-Profil zugewiesen wurde, werden Alarmprotokolle, LTE-Zusammenfassungsprotokolle, MOS-Zusammenfassungsprotokolle, SD-WAN-SLA-Metriken, Traffic-Conditioning-Protokolle und Systemprotokolle automatisch an den entsprechenden Collector weitergeleitet. Für alle anderen Protokolltypen muss die entsprechende Funktion oder Richtlinie explizit über ein LEF-Profil konfiguriert werden.
Mehr zu LEF-Profilen
Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.
| RFC 7011: IPFIX-Protokoll | RFC 5424: Das Syslog-Protokoll |
|---|---|
| Der IETF-Standard, der das IPFIX-Datensatzformat definiert – eine der beiden Exportvorlagen, die ein LEF-Profil verwenden kann. | Der IETF-Standard, der das Format von Syslog-Meldungen definiert, ist die andere Exportvorlage, die ein LEF-Profil verwenden kann. |
Verwandte Begriffe
Wenn Sie sich gerade über LEF-Profile informieren, sollten Sie sich diese als Nächstes einmal ansehen.
| Funktion zum Exportieren von Protokollen | Application Delivery Controller | Versa Logging Service |
|---|---|---|
| Die VOS-Funktion, die Protokolle an Sammler weiterleitet; ein LEF-Profil ist das Objekt, das festlegt, wohin und wie dies geschieht. | Der Lastverteilungsdienst, der üblicherweise als Ziel eines Kollektors verwendet wird und LEF-Verbindungen auf die Knoten des Protokollkollektors verteilt. | Der in der Cloud gehostete Protokollierungsdienst, der als Sammelziel für ein LEF-Profil zur Auslagerung großer Protokollmengen dienen kann. |