Syslog בעברית: רמות חומרה, Facilities, Timestamps ותצורת לוגים מקצועית על Cisco IOS (CCNA)

ברוב חקירות התקלות שראינו, הראיה המכריעה הייתה שורת לוג אחת שאיש לא קרא. Syslog הוא מנגנון התיעוד הסטנדרטי של ציוד רשת, ומי שיודע לקרוא אותו נכון מקצר אבחון של שעות לדקות. הנושא מופיע בבלופרינט של CCNA 200-301 v1.1, וגם בכל ראיון עבודה רציני לתפקיד NOC.

שמונה רמות החומרה — לזכור בעל פה

• ▸0 Emergency — המערכת אינה שמישה.
• ▸1 Alert — נדרשת פעולה מיידית.
• ▸2 Critical — מצב קריטי, למשל כשל חומרה.
• ▸3 Error — שגיאה, למשל ממשק שנפל.
• ▸4 Warning — אזהרה, מצב שדורש תשומת לב.
• ▸5 Notification — אירוע תקין אך משמעותי, למשל שינוי תצורה.
• ▸6 Informational — מידע שוטף.
• ▸7 Debugging — פלט ניפוי מפורט, לשימוש זמני בלבד.

ככל שהמספר נמוך יותר, המצב חמור יותר. כשמגדירים logging trap 4, הציוד ישלח לשרת הכול מרמה 4 ומטה — כלומר גם 3, 2, 1 ו-0. ראשי התיבות המקובלים לזכירה הם Every Awesome Cisco Engineer Will Need Ice cream Daily.

לפענח הודעת IOS אמיתית

*Aug  6 11:20:41.442: %LINK-3-UPDOWN: Interface GigabitEthernet0/1, changed state to down

  *Aug 6 11:20:41.442  = חותמת זמן (עם service timestamps ו-NTP מסונכרן)
  %LINK                = ה-Facility, מי הפיק את ההודעה
  3                    = רמת חומרה: Error
  UPDOWN               = ה-Mnemonic, שם האירוע
  Interface Gi0/1...   = תיאור מילולי

יעדי לוג ותצורה מקצועית

! חותמות זמן מדויקות עם אזור זמן — קריטי לקורלציה
Router(config)# service timestamps log datetime msec localtime show-timezone
Router(config)# service sequence-numbers
Router(config)# clock timezone IST 2 0
Router(config)# ntp server 10.10.10.123

! מאגר פנימי בזיכרון
Router(config)# logging buffered 65536 informational

! קונסולה שקטה, טרמינל מבוקר
Router(config)# logging console warnings
Router(config)# logging monitor informational

! שרת Syslog מרכזי
Router(config)# logging host 10.20.30.50 transport udp port 514
Router(config)# logging trap notifications
Router(config)# logging source-interface Loopback0
Router(config)# logging origin-id hostname

! אימות
Router# show logging
Router# show logging | include %LINK-3

טעויות שגובות זמן יקר

• ▸לוגים בלי NTP — חותמות זמן לא מסונכרנות הופכות קורלציה בין ציודים למשימה בלתי אפשרית.
• ▸logging console debugging בפרודקשן — הקונסולה מציפה את המעבד ויכולה להפיל את ניהול המכשיר.
• ▸שמירה מקומית בלבד — כשמכשיר נופל או נפרץ, הלוג נעלם איתו. תמיד שולחים לשרת חיצוני.
• ▸רמת trap גבוהה מדי — שליחת רמה 7 לשרת מציפה את ה-SIEM ומסתירה את מה שחשוב.

לוג בלי זמן מדויק אינו ראיה, ולוג ששמור רק על המכשיר שנפרץ אינו קיים. שני העקרונות האלה שווים יותר מכל כלי ניטור יקר.

מכאן לאן

בקורס CCNA של מכללת נטמי אנחנו בונים את הנושא הזה מעבדה אחר מעבדה — לא רק כדי לעבור את מבחן 200-301 v1.1, אלא כדי שתדעו לאבחן ולתקן אותו ברשת אמיתית ביום הראשון בעבודה.