IT 運用と保守: データ分析プラットフォームを使用して H3C スイッチを監視

概要

企業の日々の運用・保守では、多種多様な機器、異なるログ形式、膨大なログ量、多数のアラームが存在し、これらのログをどのように一元的に保管するかが課題となっています。大量のログを表示および分析するにはどうすればよいですか? 従来のログデバイスでは、さまざまなログ形式でのデータアクセスのニーズを満たすことができず、収集したログをさらに分析することもできますが、最終的にこれらの問題点を完全に解決できるHonghuを選択しました。

この記事は、運用および保守担当者が障害やセキュリティの問題を迅速に特定できるように、ネットワーク機器からログを収集および分析します。

監視対象

インフラストラクチャ内のスイッチやファイアウォールなどのネットワークデバイスからログを収集します

ネットワークデバイスのログインセキュリティを監視する

ネットワークデバイス構成のセキュリティを監視する

ネットワークデバイスインターフェースのステータスを監視する

アーキテクチャの説明

コンポーネントの説明

ネットワーク機器: スイッチ、ルーター、ファイアウォール、および syslog モードをサポートするその他の機器

Honhu プラットフォーム: データコレクターには Vector が使用されます。データセットは、さまざまなデータを保存するために使用されます。クエリ。データセット内のデータをクエリするために使用されます。

データインポートプロセス

ネットワークデバイスは syslog を通じてデータを Honhu プラットフォームに送信し、Vector がデータを収集した後、それをデータセットに保存してクエリ用のデータを提供します。

Syslogデータインポート設定

Honhu プラットフォームはインターネットにアクセスできる必要があることに注意してください。

Honhu での Syslog データ収集の構成

ベクターのインストール

インストール後にベクターのバージョンをチェックして、インストールが成功したことを確認します。

Vector をインストールした後、Vector を直接実行すると、システムはまず /usr/bin でコマンドを探しますが、このディレクトリにない場合は見つかりません。現時点では、見つからないコマンド用のリンクファイルを作成し、/usr/bin にリンクする必要があります。

(特定のコードについては、Honghu 技術交換グループに参加し、ナレッジベースから入手してください)

Honhu プラットフォームにログインし、[データ管理] > [新しいデータセットを作成]

データソース名を編集し、上で作成した「スイッチ」としてデータセット範囲を選択すると有効になります。

syslog.toml スクリプトを作成します。フィールドを調整する必要があります

address = "0.0.0.0:514": 0.0.0.0 はすべてのホストから送信された syslog を受信することを意味し、514 は受信ポートを意味します (syslog のデフォルトは 514)

mode = "udp": syslog を受信するためのプロトコルを示します。syslog のデフォルトは udp)

._target_table = "switch" : 上記で作成したデータセットの名前を示します

address = "172.20.6.111:9092": Honhu の IP と対応するポート

変更した syslog スクリプトを実行し、実行を続けます。

(特定のコードについては、Honghu 技術交換グループに参加し、ナレッジベースから入手してください)

スイッチにログインして syslog をトリガーします（注: スイッチにログインしてコマンドを入力すると、自動的に syslog がトリガーされます）。Honhu プラットフォームにログインして、データがスイッチデータセットにインポートされているかどうかを確認します。以下の図に示すように、イベント数はデータのインポートが成功したことを示しています。

ベクトルを介してスイッチデータセットにインポートされたデータをクエリします

ネットワークデバイス構成の syslog

H3C スイッチの syslog 構成

ログをオンにして、Honghu プラットフォームに送信する必要があります。デフォルトでは、syslog は udp514 ポート経由でログを送信します。

IP アドレス 172.20.6.111 のホストをログホストとして使用し、loghost チャネルを使用して情報を送信します (オプション、システムのデフォルトは

loghost チャネル)、ログホスト記録ツールとして local5 を使用します。

注: ここでは、ログの送信元アドレスを指定できますが、指定する必要はありませんが、識別の便宜上、通常は指定することをお勧めします

注: 管理ポートを介してログを送信する場合、管理ポートは VPN-Instance で構成されているため、VPN-Instance を指定する必要があります。

出力ルールを設定します。情報レベル以上のすべてのモジュールとログ情報がログホストに出力されることを許可します。

ここにある実際の構成コマンド

Ciscoスイッチのsyslog設定

Cisco ネットワークデバイスの設定コマンドは通常、次のとおりです。

グローバルモード <config> の場合

ここにある実際の構成コマンド

フィールド抽出

H3C スイッチには独自のログ形式があるため、Honghu はすべてのフィールドを抽出しないため、データは H3C スイッチのログ形式に基づいて抽出する必要があります。フィールド抽出のロジックは、最初に SQL ステートメントを通じてビューを作成することです。ビューが生成された後、ビュー内のフィールドを直接呼び出すことができ、実際のログは元のデータセットに保存されたままになります。

まず、H3C スイッチのログ形式を分析してみましょう。公式の説明ログの形式は次のとおりです。