ログエクスポート機能とは何ですか？

ログエクスポート機能（LEF）は、Versa オペレーティングシステム（VOS）の機能であり、各機能やサービスによって生成されたログを、LEF接続と呼ばれるTCPまたはUDP接続を介して、Versa Analyticsのログコレクター、サードパーティ製のsyslogサーバー、またはNetFlowコレクターといった宛先に転送します。LEFプロファイルによって、各機能やポリシーのログをどのコレクターが受信するかが決定されます。

主なポイント

• LEFは、VOSログをAnalytics、syslog、またはNetFlowコレクターに転送します。
• LEFプロファイルは、各機能やポリシーを、対応するログ収集先の宛先に割り当てます。
• ログは、LEF接続と呼ばれるTCPまたはUDPリンクを介してコレクターへ送信されます。
• デフォルトのLEFプロファイルでは、アラーム、SLA、およびシステムログが自動的にエクスポートされます。
• 各テナントは、独自のテンプレート、コレクター、およびプロファイルを設定します。

このページの内容： その重要性 ・ 仕組み ・ 種類 · LEF およびVersa · よくある質問

LEFはなぜ重要なのでしょうか？

ログは、それを生成したデバイスから送信されなければ何の価値もありません。LEFは、VOSデバイス（ブランチ、ゲートウェイ、コントローラーノード）と、生のイベントを可視化情報に変換するシステム（Versa の分析ダッシュボード、セキュリティチームのSIEM、NetFlowベースのトラフィックアナライザーなど）との連携を実現します。LEFがなければ、アラーム、ファイアウォールの判定、DLPのヒット、SLA違反などの情報はデバイス内に留まり、相関分析や検索、アラート発行が行われることはありません。

LEFは、ファブリックの健全性を維持するための運用信号も伝送します。デフォルトのLEFプロファイルでは、アラーム、LTE、SD-WAN SLA、およびシステム負荷のログ（テレメトリダッシュボードやNOCのアラート機能に不可欠な情報）が、機能ごとの設定を必要とせずに自動的にエクスポートされます。また、LEFは業界標準のIPFIXまたはsyslog形式でエクスポートされるため、すでにSIEMやNetFlowコレクターを導入している組織では、Versa デバイスを新たに構築するパイプラインではなく、既存のパイプラインに組み込むことができます。

LEFとは何ですか？

内部的には、LEFは一連の設定オブジェクトで構成されています。テンプレートでは、エクスポート形式（AnalyticsおよびNetFlowの送信先にはIPFIX、サードパーティのsyslogサーバーにはsyslog）が設定されます。コレクターでは、送信先（IPアドレスまたはFQDN、ポート、トランスポート（TCPまたはUDP））に加え、接続速度が低下したり切断されたりした場合に、デバイスがログをバッファリングする方法を規定するキュー制限が指定されます。 コレクターは高可用性を確保するためにグループ化でき、プライマリコレクターと、バックアップへの自動フェイルオーバーが設定されます。

LEFプロファイルは、テンプレートとコレクター（またはグループ）を結びつけ、フィーチャー、サービス、トラフィック監視ルール、またはテナントのロギング制御設定に適用されます。テナントごとに1つのプロファイルをデフォルトとして設定することで、フィーチャーごとの設定を行わなくても、重要なログを自動的に転送することができます。 ログは、ログの種類（accessLog、alarmLog、dlpLogなど）を示すsyslog識別子がタグ付けされたsyslog形式で、LEF接続と呼ばれるTCPまたはUDPセッションを介して送信されます。通常、この通信はアプリケーションデリバリーコントローラーを経由してルーティングされます。

LEFエクスポートの種類

LEFは3種類の宛先にログを送信しますが、その形式は宛先ごとに異なります。アナリティクスエクスポートでは、IPFIXを使用してログデータをVersa のアナリティクスログコレクターノードに送信し、Director内のアナリティクスダッシュボードやログ画面にデータを反映させます。これが最も一般的なケースです。Syslogエクスポートでは、同じイベントを標準のSyslog形式でサードパーティ製のSyslogサーバーやSIEMに送信し、セキュリティチームがVOSのログを既存のツール環境に統合できるようにします。NetFlowエクスポートもIPFIXを使用し、SolarWindsやCisco Stealthwatchなどのサードパーティ製フローコレクターと相互運用できるようフォーマットされています。IPFIXフィールドはベンダー間で完全に標準化されていないため、VOSデバイスは「フローの開始/終了」テンプレートと「定期的な中間レコード」テンプレートの両方をサポートしています。

これら3つすべてに共通する4つ目の区別は、LEFプロファイルがキャプチャしたトラフィックとどのように関連付けられているかという点です。具体的には、個別の機能やサービスに紐付けられているか、トラフィック監視ポリシー規則に紐付けられているか、テナントのロギング制御設定に紐付けられているか、あるいはデフォルトとして設定されているか、といった点です。

LEF &Versa

LEFは、Directorの「オブジェクトとコネクタ」＞「コネクタ」＞「レポート」＞「ログエクスポート機能」で、VOSデバイスごとに設定されます。「ログエクスポート機能の設定」では、テンプレート・コレクター・プロファイルのチェーンをエンドツーエンドで構築する方法について説明しています。「ログエクスポート機能の適用」は、LEFプロファイルを個々の機能（ファイアウォール、DLP、DNSフィルタリング、ATP、CGNATなど、数十種類に及ぶ機能）に組み込むための参考資料です。

すべてのログタイプがどこへでもエクスポートできるわけではありません。たとえば、デジタルエクスペリエンスモニタリングのデータは、独自のフォーマットを採用しているため、Analyticsノードにのみ送信可能であり、サードパーティ製のsyslogやNetFlowシステムには送信できません。LEF接続に異常が生じた場合、「ログエクスポート機能の問題のトラブルシューティング」では、設定の確認、エクスポート統計情報の確認、およびデバイスからAnalyticsノード（多くの場合、アプリケーションデリバリーコントローラーを経由して）への接続の追跡手順を順を追って説明しています。

よくある質問

LEFプロファイルとLEFコレクターの違いは何ですか？

コレクターは、送信先（IP アドレスまたは FQDN、ポート、トランスポート）と、ログがそこにどのようにキューイングされるかを定義します。LEF プロファイルは、テンプレートとコレクターを結びつけるものであり、機能、ポリシー、またはテナントに適用するものです。プロファイルで参照されるまでは、コレクター単体では何も行いません。

LEFは、Analyticsクラスターがなくてもログをエクスポートできますか？

はい。LEFは、syslog形式のログをサードパーティ製のsyslogサーバーに直接送信したり、IPFIX形式のフローログをSolarWindsなどのNetFlowコレクターに送信したりすることができます。これらはVersa Analyticsとは完全に独立して動作します。Analyticsは、いくつかの送信先タイプのうちの1つに過ぎず、必須の要件ではありません。

LEF接続が切断された場合、ログはどうなるのでしょうか？

VOSデバイスは、これらのログを優先度（高、中、低）順に、設定可能な保持間隔の間キューに格納し、その間に接続が回復しなかった場合は破棄します。アラームなどの優先度の高いログは、優先度の低いトラフィックログよりも長いデフォルトの保持間隔が設定されています。

なぜ各テナントに独自のLEFプロファイルが必要なのでしょうか？

マルチテナント機能により、設定はエンドツーエンドで分離されます。VOSデバイス上の各テナントは、LEFテンプレート、コレクター、コレクターグループ、プロファイルのそれぞれについて、完全に独立したセットを保持しているため、どの組織のログストリームやエクスポート先も、隣接するテナントのものと混在することはありません。

LEFが実際にログをエクスポートしているかどうか、どうすれば確認できますか？

VOSデバイスのCLIからLEFエクスポート統計を表示し、数分待ってからコマンドを再実行します。ログカテゴリごとのカウントが増加していれば、エクスポートが正常に行われていることが確認できます。カウンターの増加が止まっている場合は、通常、接続の不具合ではなく、機能の設定ミスが原因です。

ログエクスポート機能の詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

LEFについてお読みになっているなら、次はこれらもぜひチェックしてみてください。