華為防火墻日志配置

1、防火墻 xx 服務器配置說明通過Eudemon日志服務器可以收集Eudeon防火墻的日志信息，方便日志 查詢、分析、告警；這里對 Eudemon 防火墻的相關配置做一簡要說明。對 Eudemon 日志服務器安裝操作說明請參考相關文檔。1.1 幾點說明1. Eudemon防火墻目前支持兩種日志格式 Syslog Bi nary;2 Sysl og(UDP：5 1 4)日志為文本日志，如在防火墻上執(zhí)行的各種命令操作 記錄;3. Binary(UDP 9002)流日志是在防火墻上建立會話表項的日志，其又分為 Bi nary NAT Log和Bi nary ASPF Log其中Bin ary NAT

2、Log指會話表項進行地址轉換 的流日志；而Binary ASPF Lo旨會話表項沒有進行地址轉換的流日志；4.Binary 日志在防火墻會話表項老化之后會生成：E200： 在 session完全老化(display firewall session table verbose查看不到 )或清空會話表時會觸發(fā)流 xx；E1000：在 session老化(display firewall session table查看不至U )后會觸發(fā)流 xx；5.對于哪些會話表項能夠產生 Bin ary日志，E200與E1000有所不同：E200對TCP處于ready狀態(tài),State： 0x53的會話)、UDP

3、會話會產生Binaryxx；E1000對TCP處于ready狀態(tài)的會話)、UDP、ICMP會話會產生Bi naryxx；6兩種日志 Syslog/Binary 的記錄時間取防火墻系統(tǒng)的當前時間；7由于Syslog日志數(shù)量相對Bin ary要少，建立會話對系統(tǒng)影響較小，而且 Syslog日志是由cpu發(fā)的，與cpu發(fā)的其他報文處理流程一樣，所以 Syslog會在 E200/E1000防火墻上都會建立 session;8Bin ary日志流量大，數(shù)量多，建立session可能對系統(tǒng)有所影響；E1000其 Bi nary日志由NP直接發(fā)送，E200則由CPU發(fā)送；目前E200對Bin ary會在防火

4、 墻上建立session; E1000對Bi nary在防火墻上沒有建立session;9目前E200與E1000對于Syslog 日志的配置命令完全相同；而對于 Bi nary日 志的配置命令則有所區(qū)別;Quidway Eudemon 防火墻日志配置指導文檔密級內部公開2006-02-25 華為機密，未經許可不得擴散第 5 頁 ,共 8 頁E200:域間使能流日志功能時可以不指定 ACL如果指定ACL不需要指定 inbound、 outbound 方向；E1000:域間使能流日志功能時必須指定 ACL并且要指定inbound、outbound 方向；1.2 驗證組網1.3 Eudemon 2

5、00參考配置1.3.1 Syslog 配置:1. 配置接口 IP地址：#ip address 192.168.1.2 255.255.255.02. 將接口加入域： #1#3 .配置日志服務器主機，默認語言為 english： #info-center loghost192.168.1.3 #Quidway Eudemon 防火墻日志配置指導文檔密級內部公開2006-02-25 華為機密，未經許可不得擴散第 6 頁 ,共 8 頁4. 配置 ACL過濾規(guī)則：#acl number 3000rule 5 permit udp destination-port eq syslog#5. 應用 ACL

6、規(guī)則到相應域間：#firewall interzone local trustpacket-filter 3000 outbound#1.3.2 Binary 配置：1. 配置接口 IP地址：#ip address 192.168.1.2 255.255.255.0#2. 將接口加入域： #1#3 .配置二進制日志服務器主機及端口號： #firewall session log-type binary host 192.168.1.3 9002#4. 配置 ACL過濾規(guī)則：#acl number 3000rule 5 permit udp destination-port eq 9002#ac

7、l number 33rule 5 permit ip#5. 應用 ACL規(guī)則到相應域間：#firewall interzone local trustpacket-filter 33 inboundpacket-filter 3000 outbound#3/ 56域間使能流日志功能：#Quidway Eudemon防火墻日志配置指導文檔密級 內部公開2006-02-25 華為機密，未經許可不得擴散第 7 頁 ,共 8 頁firewall interzone local trustsession log enable此處可以不指定 ACL#1.4 Eudemon 1000參考配置1.4.1 S

8、yslog 配置：1. 配置接口 IP地址：#ip address 192.168.1.1 255.255.255.0#2. 將接口加入域： #7#3. 配置日志服務器主機，默認語言為 english： #info-center loghost192.168.1.3 #4. 配置 ACL過濾規(guī)則：#acl number 3000rule 5 permit udp destination-port eq syslog#5. 應用 ACL規(guī)則到相應域間：#firewall interzone local trustpacket-filter 3000 outbound#1.4.2 Bin ary

9、配置：1. 配置接口 IP地址：#ip address 192.168.1.1 255.255.255.0#2. 將接口加入域：#Quidway Eudemon防火墻日志配置指導文檔密級內部公 開2006-02-25 華為機密，未經許可不得擴散第 8 頁,共 8 頁3. 配置二進制日志服務器主機及端口號： #firewall session log-type binary host 192.168.1.3 9002 #4. 配置ACL過濾規(guī)則：# acl number 3000rule 5 permit udp destination-port eq 9002 acl number 3001rule 0 permit ip source 192.168.1.3 0 acl number 33rule 5 permit icmp source 192.168.1.3 0 #5. 應用 ACL規(guī)則到相應域間：#firewall interzone local trustpacket-f