Le protocole Syslog

1. Fonctionnement de Syslog

Les périphériques réseau disposent de mécanismes fiables permettant

d'envoyer à l'administrateur des messages système détaillés lors de
l'occurrence de certains événements se produisant sur le réseau. Ces messages
peuvent être non critiques ou significatifs. Les administrateurs réseau
disposent de diverses options permettant de stocker, d'interpréter et
d'afficher ces messages, ainsi que pour être alertés des messages susceptibles
d'avoir le plus d'impact sur l'infrastructure réseau.

La méthode d'accès aux messages système la plus couramment utilisée et

fournie par les périphériques réseau est un protocole appelé Syslog.

Le protocole Syslog a été développé

pour les systèmes UNIX dans les
années 1980, mais a été documenté pour
la première fois dans la RFC 3164 par
l'IETF en 2001 ;

De nombreux périphériques réseau

prennent en charge le protocole Syslog,
comme les routeurs, les commutateurs,
les serveurs d'applications, les pare-
feu et d'autres dispositifs réseau. Le protocole Syslog permet aux
périphériques réseau d'envoyer leurs messages système sur le réseau aux
serveurs Syslog. Il est possible de concevoir un réseau spécial à gestion hors
bande à cette fin.

Les destinations classiques des messages Syslog sont les suivantes :

 Tampon de journalisation (mémoire vive à l'intérieur d'un routeur

ou d'un commutateur)

 Ligne de console: La journalisation (logging)de la console est

utilisée lors de la modification ou du test du routeur alors qu'il
est connecté à la console. Les messages envoyés à la console ne
sont pas stockés par le routeur et, par conséquent, ne sont pas
très précieux en tant qu'événements de sécurité.
 R(config)# logging console

 Ligne de terminal : Configurer les sessions EXEC activées pour

recevoir des messages de journal sur toutes les lignes de terminal.
Semblable à la journalisation de la console, ce type de
journalisation (logging) n'est pas stocké par le routeur et, par
conséquent, n'a de valeur que pour l'utilisateur sur cette ligne.
 R(config)# terminal monitor


 logging tamponnée: stockez les messages du journal dans la mémoire

du routeur. Les messages du journal sont stockés pendant un certain
 temps, mais les événements sont effacés chaque fois que le routeur
est redémarré.
 R(config)# Logging buffered 4096 (4 ko)
 R(config)# Show log

 Serveur Syslog : Configurer les routeurs pour transférer les

messages de journal vers un service Syslog externe. Ce service peut
résider sur n'importe quel nombre de serveurs, y compris les
systèmes Microsoft Windows et UNIX, ou Cisco Security Appliance
MARS.Le protocole Syslog utilise le port UDP 514 pour envoyer des
messages de notification d'événement sur des réseaux IP à des collecteurs
de messages d'événement,

 Serveurs Syslog:
Connus sous le nom d'hôtes
de journal (log host), ces
systèmes acceptent et
traitent les messages de
journal (log) des clients
Syslog.

 Clients Syslog:
Routeurs ou autres types
d'équipements qui génèrent
et transfèrent des messages
de journal vers des
serveurs Syslog.

R3(config)# logging 10.2.2.6

R3(config)# logging trap informational
R3(config)# logging source-interface loopback 0
R3(config)# logging on

2. Niveaux de gravité Syslog

Les périphériques Cisco génèrent des messages Syslog à la suite des

événements réseau. Chaque message Syslog contient un niveau de gravité
et une capacité. Plus les numéros des niveaux sont petits, plus les
alarmes Syslog sont critiques.
Exemple de résultat sur un commutateur Cisco en ce qui concerne la
modification d'état à la valeur « up » d'une liaison EtherChannel :

00:00:46: %LINK-3-UPDOWN: Interface Port-channel1, changed state to

up

Dans ce cas, la capacité est LINK et le niveau de gravité est égal à 3,

avec une valeur mnémonique UPDOWN.

3. Horodatage de service

Il est possible d'horodater les messages de journal et de définir

l'adresse source des messages Syslog. Cela permet d'améliorer le
débogage et la gestion en temps réel.

Il est nécessaire de configurer l'horloge du périphérique réseau. Cette

opération peut être accomplie de deux manières différentes :

 Manuellement, à l'aide de la commande clock set

 Automatiquement, à l'aide du protocole NTP.

NTP est un protocole utilisé pour permettre aux périphériques réseau de

synchroniser leurs paramètres de temps avec un serveur NTP.

4. Configuration et vérification de la journalisation du

système

a. Configuration Syslog sur R1

b. Affichage des paramètres Log configurés

# show logging
 5. Exercice

Configurer les routeurs pour identifier l'hôte distant (serveur Syslog)

qui recevra les messages de journalisation.

R1(config)# logging host 192.168.1.6

R1(config)# Logging trap level 7

R2(config)# logging host 192.168.1.6

R1(config)# Logging trap level 5

R3(config)# logging host 192.168.1.6

R1(config)# Logging trap level 0