¿En qué consiste la función de exportación de registros?

La funcionalidad de exportación de registros (LEF) es la capacidad del sistema operativo « Versa » (VOS) que reenvía los registros generados por funciones y servicios a un destino —un colector de registros de « Versa Analytics», un servidor syslog de terceros o un colector de NetFlow— a través de conexiones TCP o UDP denominadas «conexiones LEF». Un perfil LEF determina qué colector recibe los registros de cada función o política.

Puntos clave

• LEF reenvía los registros VOS a los colectores de Analytics, syslog o NetFlow.
• Los perfiles LEF asignan cada característica o política a su destino de recopilación de registros.
• Los registros se transmiten a los colectores a través de enlaces TCP o UDP denominados «conexiones LEF».
• Un perfil LEF predeterminado exporta automáticamente los registros de alarmas, SLA y del sistema.
• Cada cliente configura sus propias plantillas, colectores y perfiles de forma independiente.

En esta página: Por qué es importante · Cómo funciona · Tipos · LEF y Versa · Preguntas frecuentes

¿Por qué es importante el LEF?

Los registros no sirven de nada si nunca salen del dispositivo que los generó. LEF consigue que los dispositivos VOS —sucursales, puertas de enlace y nodos controladores— se comuniquen con los sistemas que convierten los eventos sin procesar en información útil: los paneles de análisis de Versa , el SIEM de un equipo de seguridad o un analizador de tráfico basado en NetFlow. Sin ello, las alarmas, las decisiones del cortafuegos, las coincidencias de DLP y las incumplimientos de SLA permanecen en el dispositivo y nunca se correlacionan, ni se buscan, ni se generan alertas al respecto.

LEF también transmite las señales operativas que mantienen la red en buen estado. Un perfil predeterminado de LEF exporta automáticamente los registros de alarmas, LTE, SLA de SD-WAN y de carga del sistema —de los que dependen los paneles de telemetría y las alertas del NOC— sin necesidad de configuración específica por función. Y, dado que LEF exporta en los formatos estándar del sector IPFIX o syslog, las organizaciones que ya utilizan un SIEM o un colector de NetFlow pueden integrar los dispositivos d Versa o en los flujos de trabajo existentes en lugar de crear otros nuevos.

¿Qué es LEF?

En esencia, LEF es una cadena de objetos de configuración. Una plantilla establece el formato de exportación: IPFIX para destinos de Analytics y NetFlow, y syslog para servidores syslog de terceros. Un colector especifica un destino —una dirección IP o un FQDN, un puerto y un protocolo de transporte (TCP o UDP)—, además de los límites de cola que regulan cómo el dispositivo almacena temporalmente los registros cuando la conexión es lenta o está inactiva. Los colectores se pueden agrupar para garantizar una alta disponibilidad, con un colector principal y una conmutación automática por error a uno de reserva.

Un perfil LEF vincula una plantilla y un colector (o grupo) y se aplica a una función, un servicio, una regla de supervisión del tráfico o a la configuración de control de registros del inquilino; se puede establecer un perfil por inquilino como predeterminado, que reenvíe automáticamente los registros críticos sin necesidad de configuración por función. Los registros se transmiten en formato syslog, etiquetados con un identificador syslog que indica el tipo de registro (accessLog, alarmLog, dlpLog, etc.), a través de una sesión TCP o UDP denominada «conexión LEF», que normalmente se enruta a través de un controlador de entrega de aplicaciones.

Tipos de exportaciones LEF

LEF envía registros a tres tipos de destinos, y el formato varía en función de cada uno. La exportación de Analytics utiliza IPFIX para enviar datos de registro a los nodos recopiladores de registros de Analytics de Versa , lo que alimenta los paneles de control y las pantallas de registros de Analytics en Director —el caso más habitual—. La exportación de Syslog envía los mismos eventos, en formato Syslog estándar, a un servidor Syslog de terceros o a un SIEM, lo que permite al equipo de seguridad integrar los registros de VOS en las herramientas que ya utiliza. La exportación de NetFlow también utiliza IPFIX, formateado para interoperar con colectores de flujos de terceros, como SolarWinds y Cisco Stealthwatch; dado que los campos IPFIX no están totalmente estandarizados entre los distintos proveedores, los dispositivos VOS admiten tanto una plantilla de inicio/fin de flujo como una plantilla de registros intermedios periódicos.

Existe una cuarta distinción que abarca las tres anteriores: cómo se asocia el perfil LEF al tráfico que captura —ya sea vinculado a una función o servicio concreto, a una regla de política de supervisión del tráfico, a la configuración de control de registro del inquilino o establecido como valor por defecto—.

LEF y Versa

La función LEF se configura para cada dispositivo VOS en «Objetos y conectores» > «Conectores» > «Informes» > «Función de exportación de registros» en Director. La configuración de la función de exportación de registros abarca la creación de la cadena «plantilla-colector-perfil» de principio a fin; la aplicación de la función de exportación de registros es la guía de referencia complementaria para integrar un perfil LEF en funciones concretas: cortafuegos, DLP, filtrado DNS, ATP, CGNAT y muchas otras.

No todos los tipos de registros se pueden exportar a cualquier destino: los datos de Digital Experience Monitoring, por ejemplo, solo se pueden enviar a nodos de Analytics, nunca a sistemas syslog o NetFlow de terceros, ya que su formato es propietario. Cuando las conexiones LEF presentan fallos, el documento «Solución de problemas de la funcionalidad de exportación de registros» explica cómo verificar la configuración, comprobar las estadísticas de exportación y rastrear la conexión desde el dispositivo hasta el nodo de Analytics, a menudo a través de un controlador de entrega de aplicaciones.

Preguntas frecuentes

¿Cuál es la diferencia entre un perfil LEF y un colector LEF?

Un colector define un destino —dirección IP o FQDN, puerto y protocolo de transporte— y cómo se almacenan los registros en cola en dicho destino. Un perfil LEF vincula una plantilla con un colector y es lo que se aplica a una función, una política o un inquilino; el colector por sí solo no realiza ninguna acción hasta que un perfil lo referencia.

¿Puede LEF exportar registros sin un clúster de Analytics?

Sí. LEF puede enviar registros con formato syslog directamente a un servidor syslog de terceros, o registros de flujo con formato IPFIX a un colector de NetFlow como SolarWinds, con total independencia de Versa Analytics: Analytics es simplemente uno de los varios tipos de destino disponibles, no un requisito.

¿Qué ocurre con los registros cuando se interrumpe una conexión LEF?

El dispositivo VOS los pone en cola según su prioridad —alta, media, baja— durante un intervalo de retención configurable y, a continuación, los descarta si la conexión no se ha restablecido. Los registros de alta prioridad, como las alarmas, tienen un intervalo de retención predeterminado más largo que los registros de tráfico de baja prioridad.

¿Por qué cada inquilino necesita su propio perfil LEF?

La multitenencia aísla la configuración de principio a fin: cada inquilino de un dispositivo VOS mantiene su propio conjunto, totalmente independiente, de plantillas LEF, colectores, grupos de colectores y perfiles, por lo que los flujos de registros ni los destinos de exportación de ninguna organización se mezclan jamás con los de un inquilino vecino.

¿Cómo puedo saber si LEF está exportando realmente los registros?

Muestra las estadísticas de exportación LEF desde la interfaz de línea de comandos (CLI) del dispositivo VOS, espera unos minutos y vuelve a ejecutar el comando; el incremento de los recuentos por categoría de registro confirma que la exportación está activa. Un contador estancado suele indicar una función mal configurada, más que una conexión interrumpida.

Más información sobre la función de exportación de registros

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre LEF, te conviene echar un vistazo a lo siguiente.