【Fortigate】Syslog設定 FortiOS6.2.4

FortiGate では、内部で出力されるログを外部の Syslog サーバに送信できます。FortiGate の中には大量のログを保存できず、ディスクを持たないモデルではログをメモリにしか保存できないこともあるため、ログは外部の Syslog サーバに転送しておくことをおすすめします。

この記事では、FortiGate の Syslog の設定と動作確認、複数の Syslog サーバの設定を行います。検証時の FortiOS は 6.2.4 です。

この記事でわかること

GUI での Syslog サーバの設定と、CLI での設定の確認
ファシリティの変更と、送信するログの種類
2台目以降の Syslog サーバの設定（CLI）

検証の構成
Syslog の設定
1. GUI で Syslog サーバを設定する
2. ファシリティを変更する
送信するログの種類
1. 送るログを選ぶ
動作確認
1. Syslog サーバでログを受信する
複数の Syslog サーバの設定
1. 2台目の Syslog サーバを CLI で設定する
まとめ

検証の構成

FortiGate から、Syslog サーバ（10.0.1.10）に UDP の 514 番でログを送ります。あとで、2台目の Syslog サーバ（10.0.1.25）も追加します。

図1　FortiGate から Syslog サーバにログを送る

Syslog の設定

GUI で Syslog サーバを設定する

ログ＆レポート ›› ログ設定 を開き、ログをsyslogへ送信 を有効にして、IPアドレス/FQDN に Syslog サーバの IP アドレスを入力します。

画面イメージについて

この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。

FortiGate 管理画面画面イメージ

ログ＆レポート ›› ログ設定

リモートロギングとアーカイブ

FortiAnalyzer/FortiManagerにログを送信	○ 有効◉ 無効
1ログをsyslogへ送信	ON
2IPアドレス/FQDN	10.0.1.10
⋮（中略）

図2　Syslog サーバの設定（実際の画面ではなく、設定する項目を示したイメージです）

これで Syslog の基本の設定は終わりです。ポート番号やファシリティは GUI には表示されないので、CLI の get log syslogd setting で確認します。

FortiGate

# get log syslogd setting
status              : enable
server              : 10.0.1.10
mode                : udp
port                : 514
facility            : local7
source-ip           :
format              : default
priority            : default
max-log-rate        : 0
interface-select-method: auto

表示	意味
server	Syslog サーバのアドレスです。GUI で入力した 10.0.1.10 になっています。
mode	送信方法です。`udp` のほか、TCP で送る `reliable`（RFC 6587）などを選べます。
port	Syslog サーバの待ち受けポートです。今回は 514 です。
facility	Syslog のファシリティです。今回は何も変えていない状態で `local7` になっています。
source-ip	送信元の IP アドレスです。空欄なので、FortiGate が送信するインターフェースのアドレスが使われます。
format	ログの形式です。`default`（Syslog 形式）のほか、`csv`、`cef` を選べます。

ファシリティを変更する

Syslog サーバ側でログを振り分けるために、ファシリティを変えることがあります。ファシリティを local0 に変更するには、次のように設定します。

FortiGate

# config log syslogd setting

 (setting) # set facility local0

 (setting) # end

# get log syslogd setting
status              : enable
server              : 10.0.1.10
mode                : udp
port                : 514
facility            : local0
source-ip           :
format              : default
priority            : default
max-log-rate        : 0
interface-select-method: auto

このほか、送信元の IP アドレス（source-ip）や、TCP でのログ送信（mode）なども CLI で設定します。

送信するログの種類

送るログを選ぶ

記録するログの種類は、ログ＆レポート ›› ログ設定 の ログ設定 で選べます。ここで選んだログが Syslog にも送られます。すべてのログを対象にすることも、カスタマイズ を選んで種類ごとに決めることもできます。Syslog サーバに送るログだけをさらに絞り込みたい場合は、CLI の config log syslogd filter を使います。

FortiGate 管理画面画面イメージ

ログ＆レポート ›› ログ設定 ›› ログ設定

1イベントロギング

○ すべて◉ カスタマイズ
☑ システムアクティビティイベント
☑ VPNアクティビティイベント
☑ ユーザアクティビティイベント
☑ ルーターアクティビティイベント
☑ WiFiアクティビティイベント
☑ Explicit Webプロキシイベント
☑ エンドポイントイベント
☑ HA イベント
☑ セキュリティレーティングイベント
☑ FortiExtenderイベント
☑ SDNコネクタイベント
☑ SD-WANイベント

2ローカルトラフィックログ

○ すべて◉ カスタマイズ
☑ 許可トラフィックをログ
☑ 拒否したユニキャストトラフィックをログ
☑ Local Out トラフィックをログ
☑ 拒否したブロードキャストトラフィックをログ

図3　記録するログの種類（実際の画面ではなく、設定する項目を示したイメージです）

動作確認

Syslog サーバでログを受信する

Syslog サーバとして Kiwi Syslog Server を使い、ファシリティ local0 のログを受信できていることを確認します。

Kiwi Syslog Service Manager画面イメージ

Date	Time	Priority	Hostname	Message
10-20-2020	14:06:19	1Local0.Notice	210.0.1.99	date=2020-10-20 time=23:06:19 devname=（伏せています） … level=”notice” … policytype=”local-in-policy” service=”HTTPS” … app=”Web Management(HTTPS)”
10-20-2020	14:06:19	Local0.Notice	10.0.1.99	date=2020-10-20 time=23:06:19 devname=（伏せています） … policytype=”local-in-policy” service=”HTTPS” …
⋮（以下略）

図4　Syslog サーバで受信したログ（実際の画面ではなく、表示のポイントを示したイメージです）

No.	表示	意味
1	Local0.Notice	ファシリティ `local0`、重要度 `notice` のログとして受信しています。
2	10.0.1.99	ログの送信元です。FortiGate が Syslog サーバ側のインターフェースのアドレスで送っています。

複数の Syslog サーバの設定

2台目の Syslog サーバを CLI で設定する

FortiGate では、Syslog サーバを4台まで設定できます。2台目以降は CLI で設定します。ログの設定である config log のヘルプを見ると、syslogd から syslogd4 まで設定できることがわかります。

FortiGate

FortiGate # config log ? 
custom-field           Configure custom log fields.
disk                   Configure disks.
eventfilter            Configure log event filters.
fortianalyzer          Configure first FortiAnalyzer device.
fortianalyzer-cloud    Configure cloud FortiAnalyzer device.
fortianalyzer2         Configure second FortiAnalyzer device.
fortianalyzer3         Configure third FortiAnalyzer device.
fortiguard             Configure log for FortiCloud.
gui-display            Configure how log messages are displayed on the GUI.
memory                 Configure memory log.
null-device            Configure logging for statistics collection for when no external logging 
                               destination, such as FortiAnalyzer, is present (data is not saved).
setting                Configure general log settings.
syslogd                Configure first syslog device.
syslogd2                   Configure second syslog device.
syslogd3                   Configure third syslog device.
syslogd4                   Configure fourth syslog device.
threat-weight          Configure threat weight settings.
webtrends              Configure Web trends.

2台目の Syslog サーバを 10.0.1.25 にする場合は、syslogd2 に設定します。

FortiGate

FortiGate # config log syslogd2 setting
FortiGate (setting) # set status enable
FortiGate (setting) # set server 10.0.1.25
FortiGate (setting) # show

config log syslogd2 setting
    set status enable
    set server "10.0.1.25"
end

FortiGate (setting) # end
FortiGate #

syslogd2 のポート、ファシリティなどの設定は、1台目（syslogd）とは別に持っています。ファシリティを変える場合は、config log syslogd2 setting の中で同じように設定してください。

まとめ

やりたいこと	設定
1台目のサーバ	`ログ＆レポート ›› ログ設定` の `ログをsyslogへ送信`（CLI では `config log syslogd setting`）
設定の確認	`get log syslogd setting`（ポート、ファシリティ、送信方法）
ファシリティの変更	`set facility local0` など
記録するログの選択	`ログ設定` の `イベントロギング`、`ローカルトラフィックログ` を `カスタマイズ`
2〜4台目のサーバ	CLI で `config log syslogd2 setting`〜`syslogd4`