시스코 라우터,스위치 로그 데이터수집

 시스코 라우터,스위치 경우에는 로그(LOG) 데이터를 콘솔 포트를 통하여 표시하거나, 라우터 내부 버퍼에 저장하여 필요할 때마다 엔드 유저가 보는 방식을 선택한다.
그러나 이 경우에는 시스템에 Critical한 장애가 발생하면 이용이 불가능하다. 따라서 로그 데이터를 라우터,스위치 내부가 아닌 외부 시스템에 저장하는 형태의 시스템을 제공한다.

대표적인 방법은 UNIX, LINUX 에서 제공하는 “syslod” 프로그램을 이용하는 것이다.

여기서는 LINUX를 사용할 것이다.

라우터의 표준 로깅 프로토콜이 LINUX의 데몬 프로그램에 자신의 로그 데이터를 전송한다. 그러면 이 로그 데이터는 LINUX 시스템의 특정 디렉토리에 저장하게 된다.

먼저 라우터의 설정을 보기로 하자.

RouterA#config terminal

RouterA(config)#service timestamps

RouterA(config)#logging x.x.x.x(ip주소)

RouterA(config)#logging facility local5

logging facility local5 이부분에 대해서는 개인적으로 알아보기 바란다

필자의 경우 local5로 설정했다.

이제 LINUX의 설정을 보기로 하자.

LINUX의 특정 파일 시스템 아래 있는 /etc/syslog.conf 파일을 수정하여야 한다.(root user로 로그인(login)해야 한다.) 이 파일의 마지막 라인에 가서

라인 추가를 하여 다음과 같이 작업한다.

local5.emerg            /var/log/cisco/log.emerg

local5.alert            /var/log/cisco/log.alert

local5.crit             /var/log/cisco/log.crit

local5.err              /var/log/cisco/log.err

local5.warning          /var/log/cisco/log.warning

local5.notice           /var/log/cisco/log.notice

local5.info             /var/log/cisco/log.info

local5.debug            /var/log/cisco/log.debug

이 내용을 저장한 다음 디렉토리와 해당 파일을 생성해야 한다.

필자의 경우 /var/log 에 생성할 것이다.

LINUX:/var/log# mkdir cisco

LINUX:/var/log# cd cisco

LINUX:/var/log# touch log.emerg logalert log.crit log.err log.waring log.notice log.info log.debug

Syslogd파일을 수정해줘야 한다

LINUX:/var/log# vi /etc/init.d/sysklogd

#! /bin/sh

# /etc/init.d/sysklogd: start the system log daemon.

PATH=/bin:/usr/bin:/sbin:/usr/sbin

pidfile=/var/run/syslogd.pid

binpath=/sbin/syslogd

test -x $binpath || exit 0

# Options for start/restart the daemons

#   For remote UDP logging use SYSLOGD="-r"

#

SYSLOGD="-r"

마지막으로 /etc/init.d/syslogd restart 한후

LINUX:/var/log# ps aux 명령어로 syslogd –r 을 확인한다.

root      9660  0.0  0.1   2540   900 ?        Ss   Jun04   6:58 /sbin/syslogd -r