Qu'est-ce que la fonctionnalité d'exportation des journaux ?

La fonctionnalité d'exportation des journaux (LEF) est une fonctionnalité du système d'exploitation « Versa » (VOS) qui transfère les journaux générés par les fonctionnalités et les services vers une destination (un collecteur de journaux d'Versa Analytics, un serveur syslog tiers ou un collecteur NetFlow) via des connexions TCP ou UDP appelées « connexions LEF ». Un profil LEF détermine quel collecteur reçoit les journaux de chaque fonctionnalité ou politique.

Points clés à retenir

• LEF transfère les journaux VOS vers Analytics, syslog ou les collecteurs NetFlow.
• Les profils LEF associent chaque fonctionnalité ou politique à sa destination de collecte des journaux.
• Les journaux sont transmis aux collecteurs via des liaisons TCP ou UDP appelées « connexions LEF ».
• Un profil LEF par défaut exporte automatiquement les journaux d'alarmes, de SLA et du système.
• Chaque locataire configure ses propres modèles, collecteurs et profils.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · LEF & Versa · FAQ

Pourquoi le LEF est-il important ?

Les journaux ne servent à rien s’ils ne quittent jamais le périphérique qui les a générés. LEF permet aux périphériques VOS (branches, passerelles et nœuds de contrôle) de communiquer avec les systèmes qui transforment les événements bruts en informations exploitables : les tableaux de bord analytiques d’ Versa , le SIEM d’une équipe de sécurité ou un analyseur de trafic basé sur NetFlow. Sans cela, les alarmes, les décisions du pare-feu, les correspondances DLP et les violations de SLA restent confinées au périphérique et ne font jamais l’objet de corrélations, de recherches ou d’alertes.

LEF achemine également les signaux opérationnels qui garantissent le bon fonctionnement de l’infrastructure. Un profil LEF par défaut exporte automatiquement les journaux d’alarmes, de LTE, de SLA SD-WAN et de charge système – dont dépendent les tableaux de bord de télémétrie et les alertes du centre d’exploitation du réseau (NOC) – sans nécessiter de configuration spécifique par fonctionnalité. Et comme LEF exporte au format IPFIX ou syslog, normes de l’industrie, les entreprises qui utilisent déjà un SIEM ou un collecteur NetFlow peuvent intégrer des périphériques d’ Versa s dans leurs pipelines existants au lieu d’en créer de nouveaux.

Qu'est-ce que le LEF ?

En coulisses, LEF est une chaîne d’objets de configuration. Un modèle définit le format d’exportation : IPFIX pour les destinations Analytics et NetFlow, syslog pour les serveurs syslog tiers. Un collecteur spécifie une destination (une adresse IP ou un nom de domaine complet, un port et un protocole de transport : TCP ou UDP), ainsi que des limites de file d’attente régissant la manière dont l’appareil met les journaux en mémoire tampon lorsqu’une connexion est lente ou interrompue. Les collecteurs peuvent être regroupés pour assurer une haute disponibilité, avec un collecteur principal et un basculement automatique vers un collecteur de secours.

Un profil LEF associe un modèle et un collecteur (ou un groupe) et s’applique à une fonctionnalité, un service, une règle de surveillance du trafic ou à la configuration de contrôle de la journalisation du locataire ; un profil par locataire peut servir de profil par défaut, permettant le transfert automatique des journaux critiques sans configuration spécifique par fonctionnalité. Les journaux sont transmis au format syslog, accompagnés d’un identifiant syslog indiquant le type de journal (accessLog, alarmLog, dlpLog, etc.), via une session TCP ou UDP appelée « connexion LEF » – généralement acheminée par un contrôleur de livraison d’applications.

Types d'exportations LEF

LEF envoie les journaux vers trois types de destinations, et le format varie en fonction de chacune d’entre elles. L’exportation vers Analytics utilise le format IPFIX pour envoyer les données de journaux vers les nœuds de collecte de journaux d’ Versa Analytics, alimentant ainsi les tableaux de bord et les écrans de journaux d’Analytics dans Director – ce qui constitue le cas le plus courant. L’exportation Syslog envoie les mêmes événements, au format Syslog standard, vers un serveur Syslog tiers ou un SIEM, permettant ainsi à une équipe de sécurité d’intégrer les journaux VOS dans les outils qu’elle utilise déjà. L’exportation NetFlow utilise également le format IPFIX, adapté pour interagir avec des collecteurs de flux tiers tels que SolarWinds et Cisco Stealthwatch ; les champs IPFIX n’étant pas entièrement normalisés d’un fournisseur à l’autre, les appareils VOS prennent en charge à la fois un modèle de début/fin de flux et un modèle d’enregistrements intermédiaires périodiques.

Une quatrième distinction s'applique à ces trois cas : la manière dont le profil LEF est associé au trafic qu'il capture – qu'il soit lié à une fonctionnalité ou à un service spécifique, à une règle de politique de surveillance du trafic, à la configuration des contrôles de journalisation du locataire, ou défini par défaut.

LEF & Versa

La fonctionnalité LEF ( Log Export Function) est configurée pour chaque appareil VOS dans la section « Objets et connecteurs > Connecteurs > Rapports > Fonction d’exportation des journaux » de Director. La configuration de la fonctionnalité d’exportation des journaux consiste à mettre en place la chaîne « modèle-collecteur-profil » de bout en bout ; la section « Application de la fonctionnalité d’exportation des journaux » constitue le guide de référence permettant d’intégrer un profil LEF à différentes fonctionnalités : pare-feu, DLP, filtrage DNS, ATP, CGNAT et bien d’autres encore.

Tous les types de journaux ne peuvent pas être exportés vers n'importe quelle destination : les données de surveillance de l'expérience numérique, par exemple, ne peuvent être envoyées qu'aux nœuds Analytics, jamais vers des systèmes syslog ou NetFlow tiers, car leur format est propriétaire. Lorsque les connexions LEF présentent des dysfonctionnements, la section « Dépannage des problèmes liés à la fonctionnalité d'exportation des journaux » explique comment vérifier la configuration, contrôler les statistiques d'exportation et tracer la connexion entre le périphérique et le nœud Analytics, souvent via un contrôleur de livraison d'applications.

Questions fréquentes

Quelle est la différence entre un profil LEF et un collecteur LEF ?

Un collecteur définit une destination (adresse IP ou nom de domaine complet, port et protocole de transport) ainsi que la manière dont les journaux y sont mis en file d'attente. Un profil LEF associe un modèle à un collecteur ; c'est ce que vous appliquez à une fonctionnalité, une politique ou un locataire. À lui seul, le collecteur ne fait rien tant qu'un profil ne le référence pas.

LEF peut-il exporter des journaux sans cluster Analytics ?

Oui. LEF peut envoyer des journaux au format syslog directement vers un serveur syslog tiers, ou des journaux de flux au format IPFIX vers un collecteur NetFlow tel que SolarWinds, de manière totalement indépendante d’ Versa Analytics : Analytics n’est qu’un type de destination parmi d’autres, et non une exigence.

Que deviennent les fichiers journaux lorsqu'une connexion LEF est interrompue ?

Le dispositif VOS les met en file d'attente par ordre de priorité (élevée, moyenne, faible) pendant un intervalle de conservation configurable, puis les supprime si la connexion n'a pas été rétablie. Les journaux à haute priorité, tels que les alarmes, bénéficient d'un intervalle de conservation par défaut plus long que les journaux de trafic à faible priorité.

Pourquoi chaque locataire doit-il disposer de son propre profil LEF ?

La multi-location assure une isolation complète de la configuration : chaque locataire d'un appareil VOS dispose de son propre ensemble, totalement distinct, de modèles LEF, de collecteurs, de groupes de collecteurs et de profils. Ainsi, les flux de journaux et les destinations d'exportation d'une organisation ne se mélangent jamais avec ceux d'un locataire voisin.

Comment puis-je savoir si LEF exporte réellement les journaux ?

Affichez les statistiques d'exportation LEF depuis l'interface de ligne de commande (CLI) du périphérique VOS, patientez quelques minutes, puis relancez la commande : l'augmentation des compteurs par catégorie de journal confirme que l'exportation est active. Un compteur qui stagne indique généralement une fonctionnalité mal configurée plutôt qu'une connexion interrompue.

En savoir plus sur la fonctionnalité d'exportation des journaux

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au LEF, voici quelques liens qui pourraient vous intéresser.