¿Qué es un perfil LEF?

Un perfil LEF es un objeto de configuración en un dispositivo con el sistema operativo « Versa » (VOS) que especifica qué plantilla de exportación de registros —IPFIX o syslog— y qué recopilador o grupo de recopiladores reciben los registros exportados de un inquilino. Los administradores asocian un perfil LEF a una función, un servicio o una regla de política, o bien designan uno como predeterminado de la organización.

Puntos clave

• Un perfil LEF indica a un dispositivo VOS dónde y cómo exportar los registros.
• Asigna una plantilla de exportación de registros (IPFIX o syslog) a un colector.
• Se puede designar un perfil LEF por inquilino como perfil predeterminado.
• Las características, los servicios y las reglas de política hacen referencia, cada uno de ellos, a un perfil LEF.
• Los colectores se pueden agrupar para garantizar una alta disponibilidad en todos los destinos.

En esta página: Por qué es importante · Cómo funciona · Tipos · Perfil y Versa · Preguntas frecuentes

¿Por qué es importante un perfil LEF?

Por defecto, los dispositivos VOS no exportan ningún dato de registro. Todas las funciones y servicios del dispositivo generan registros internamente, pero nada sale del dispositivo hacia Analytics, un servidor syslog o un colector NetFlow hasta que un administrador configura explícitamente un destino, y el perfil LEF es el objeto que realiza esa configuración. Sin él, los paneles de control permanecen vacíos, los informes no tienen datos en los que basarse y la resolución de problemas de una sesión o de una activación de política carece de un rastro de registros que seguir.

El perfil LEF también incluye las decisiones operativas que permiten utilizar la exportación de registros a gran escala: qué colector o grupo de colectores recibe el tráfico y si TCP o UDP, syslog o IPFIX, es el protocolo de transporte adecuado para ese destino. En una implementación multitenant, esto cobra aún más importancia: los registros de cada cliente pueden enrutarse a su propio colector, de modo que un proveedor que aloje a muchos clientes en una infraestructura compartida pueda mantener el flujo de registros de cada cliente separado y correctamente atribuido.

Configurar correctamente el perfil LEF es también lo que permite mantener el volumen de registros bajo control: un perfil con un colector incorrecto, o sin ninguno, o bien satura el destino equivocado o bien descarta silenciosamente datos que los operadores dan por sentado que se están capturando.

¿Qué es un perfil LEF?

Un perfil LEF se sitúa al principio de una pequeña cadena de configuración. En primer lugar, una plantilla declara el formato de exportación: IPFIX para los nodos de análisis y los colectores NetFlow, o syslog para los servidores syslog. En segundo lugar, un colector define un destino: una dirección IP o un nombre de dominio completo (FQDN), un puerto y un protocolo de transporte (TCP o UDP), que a menudo apunta a un servicio de controlador de entrega de aplicaciones que distribuye las conexiones entre varios nodos colectores. Los colectores pueden agruparse en un grupo de colectores para garantizar una alta disponibilidad, de modo que un destino de respaldo tome el relevo si no se puede acceder al principal.

El propio perfil LEF hace referencia a un colector o a un grupo de colectores, junto con un nombre, una descripción y una etiqueta opcional, y puede marcarse como el perfil predeterminado de la organización o, por separado, como el predeterminado específicamente para los registros de alarmas. Una vez configurado, el perfil se selecciona siempre que una función, un servicio o una regla de política necesite enviar sus registros a algún lugar.

Tipos de perfiles LEF

La documentación describe los perfiles LEF en función del papel que desempeñan, en lugar de según una lista fija de categorías. Un perfil LEF predeterminado es la opción por defecto para toda la organización: una vez asignado, recibe automáticamente los registros de alarmas, los registros resumidos de LTE, los registros resumidos de MOS, las métricas de SLA de SD-WAN, los registros de acondicionamiento del tráfico y los registros del sistema, sin que sea necesaria ninguna configuración adicional por función. Un perfil predeterminado para alarmas es una variante más específica, disponible desde la versión 22.1.1, que permite que los registros de alarmas se envíen a un destino diferente al predeterminado general; solo un perfil puede desempeñar esta función a la vez.

Además de los valores predeterminados, al configurar una función, un servicio o una regla de política concretos — como ATP, CGNAT, DLP, filtrado DNS, EIP, reglas de cortafuegos, captura de paquetes y política de supervisión del tráfico—, se selecciona explícitamente un perfil LEF específico para cada uno de ellos; cada uno de estos elementos cuenta con su propio campo de perfil LEF, lo que permite que ese flujo de registros anule el valor predeterminado y se envíe a un colector completamente diferente.

Perfil de LEF y Versa

Los perfiles LEF se configuran en Director, en «Configuración > Objetos y conectores > Conectores > Informes > Función de exportación de registros», en la pestaña «Perfiles», una vez que se hayan establecido la plantilla, el colector y (opcionalmente) el grupo de colectores; los pasos a seguir se describen en «Configurar la función de exportación de registros». Una vez creado, el perfil LEF se selecciona en toda la plataforma: en las reglas de la política de seguridad de NGFW, en los ajustes de control de registro, en los perfiles de ATP y DLP, en el filtrado de DNS y de archivos, en los perfiles de EIP, en las reglas de captura de paquetes y en la política de supervisión del tráfico, tal y como se detalla en «Aplicar la funcionalidad de exportación de registros».

La multitenencia está integrada en el modelo: un proveedor puede asignar a cada cliente su propio perfil LEF y colector predeterminados, lo que permite mantener aislado el flujo de registros de cada cliente, incluso cuando se comparten el hardware de la pasarela y la infraestructura de análisis subyacentes.

Preguntas frecuentes

¿Cuál es la diferencia entre un perfil LEF y un colector LEF?

Un colector define un destino: una dirección IP o un nombre de dominio completo (FQDN), un puerto y un protocolo de transporte al que se envían los registros. Un perfil LEF es el objeto al que hacen referencia realmente las funciones y las políticas; apunta a un colector (o grupo de colectores) y añade a ello configuraciones de nomenclatura, etiquetado y roles predeterminados.

¿Puede un dispositivo VOS tener más de un perfil LEF?

Sí. Un dispositivo puede tener varios perfiles LEF, cada uno de los cuales apunta a un colector o grupo de colectores diferente. Se puede designar uno como predeterminado de la organización y, opcionalmente, se puede designar otro como predeterminado específicamente para los registros de alarmas, mientras que los demás se reservan para funciones concretas o reglas de política.

¿Qué ocurre si no se ha configurado ningún perfil LEF en un dispositivo VOS?

No se exporta nada. Los dispositivos VOS generan registros internamente independientemente de su configuración, pero si no hay al menos un perfil LEF predeterminado que apunte a un colector, ninguno de esos datos llega a Analytics, a un servidor syslog ni a un colector NetFlow, por lo que los paneles y los informes quedan vacíos.

¿Puede un perfil LEF enviar registros a más de un destino?

Sí, de forma indirecta. Un perfil LEF hace referencia a un grupo de colectores en lugar de a un único colector, y los grupos de colectores pueden incluir varios destinos para garantizar una alta disponibilidad. Las versiones a partir de la 21.2.1 también admiten listas de grupos de colectores, lo que permite enviar registros a varios grupos desde un mismo perfil.

¿Qué tipos de registros se exportan automáticamente sin necesidad de una configuración adicional por función?

Una vez asignado un perfil LEF predeterminado, los registros de alarmas, los registros resumidos de LTE, los registros resumidos de MOS, las métricas de SLA de SD-WAN, los registros de acondicionamiento del tráfico y los registros del sistema se reenvían automáticamente a su colector. Para cualquier otro tipo de registro, es necesario configurar explícitamente la función o la política correspondiente con un perfil LEF.

Más información sobre los perfiles LEF

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los perfiles LEF, te recomiendo que eches un vistazo a estos a continuación.