pfsense retenção de arquivos de log

Question

Temos um firewall pfSense em nosso datacenter. Por padrão, o pfSense está armazenando apenas 500 K de logs de filtro de firewall, o que é apenas algumas horas para nós. Como posso aumentar isso?

o pfSense usa o entupimento em vez do newsyslog usual do BSD .

Eu só quero o log para depurar regras de firewall, não conformidade ou qualquer coisa, e o firewall tem 100 GB de espaço livre em disco, então prefiro ter os logs no firewall em si do que configurar um servidor syslog.

    

Answer 1

Existem várias maneiras de fazer isso. Por que você não lê os excelentes e úteis arquivos de correspondência para o pfsense ou verifica seus fóruns?

De qualquer forma, existem duas maneiras de aumentar os logs. Primeiro, você pode aumentar o tamanho dos arquivos de clog por reinicializá-los. Outra maneira é instalar um syslogger regular que captura os logs da maneira normal. Você pode então usar esse syslogger para encaminhar logs para um ponto central. Se você estiver em um ambiente seguro em que você tenha que garantir a retenção de todos os logs, então, ter o syslog clog + local syslog + remote é melhor.

Você pode precisar ler isto: link

e para o syslog-ng.conf: link

    

Answer 2

A rotação de logs no FreeBSD é tipicamente controlada com o 'newsyslog'. Você pode editar o arquivo de configuração (/etc/newsyslog.conf) para controlar vários aspectos de quanto tempo os logs são mantidos e o tamanho que os arquivos podem ser mantidos. Leia a man page do newsyslog para maiores detalhes.

    

Answer 3

As versões modernas do pfsense têm a opção de aumentar o tamanho do arquivo e fazer login em um servidor syslog remoto em Status > System Logs > Settings

    

Answer 4

Você pode usar outro servidor para receber e armazenar arquivos. Primeiro você deve determinar o IP do servidor remoto no seu pfsense para enviar o evento na máquina remota. no lado do servidor, você deve habilitar a busca de log remoto no rsyslog.conf (ajuda: link ). neste cenário eu explico mais:

Servidor Remoto Pfasense (A) (B) --------- ----------- Configure para enviar syslog para B Config rsyslog.con help link