Fortigate syslog werkt niet?

[wallywally]

Hoi,

Dit zal wel een kleine setting zijn die ik mis ergens maar ik kan er helemaal niets over vinden op google, alles gaat over forticloud en forti analyzer enzovoort enzovoort.

Ik heb in mijn fortigate 100D syslog aangezet richting een syslog server. Daar komt van alles aan logging binnen dus dat lijkt goed te gaan. Nu heb ik echter op bepaalde rules "log allowed traffic" (dus log all) aan staan. Ik zie wel packets over deze rules heen gaan in de GUI maar helemaal niets komt binnen op de syslog server.

Het gaat om een 10.x.x.x > 172.x.x.x rule met LOG ALL enabled. Hoe kan het dat ik helemaal niets terug zie in mijn syslog server. Als LOG all aan staat (dus ook allowed traffic) dan zou ik toch iedere hit moeten zien die op de rule in de GUI zichtbaar is? Inmiddels heb ik meer dan 8000 hits maar geen enkele syslog entry.

Nu ben ik ook vrij nieuw met fortigate en merk ik dat alles weer nét wat anders werkt dan bij cisco maar ik weet niet waar ik het verder moet zoeken. De logging geeft ook problemen in de traffic forward log. Het komt gewoon niet in de logging terecht terwijl het duidelijk aanstaat.

Google geeft me alleen zaken over forti cloud en fortianalyzer. Ook het fortigate forum praat alleen daarover. Hoe moeilijk is het gemaakt om gewoon eenvoudig alle logging richting een syslog server te sturen?

Heeft iemand hier toevallig ervaring met de logging (en dan met name richting een syslog server)? Ik ben nu al even bezig maar zie niet wat ik verkeerd doe. Alle logging staat aan behalve VPN events.

[BluRay]

Connect via CLI:
config global (als je meerdere vdoms hebt)
config log syslogd filter

Hier met het 'set' commando aangeven wat er allemaal naar je syslog server moet. Van te voren kan je ook een 'show' geven om te zien wat er allemaal ingesteld staat.

[wallywally]

BluRay schreef op maandag 19 juni 2017 @ 12:17:
Connect via CLI:
config global (als je meerdere vdoms hebt)
config log syslogd filter

Hier met het 'set' commando aangeven wat er allemaal naar je syslog server moet. Van te voren kan je ook een 'show' geven om te zien wat er allemaal ingesteld staat.

Wat heeft de GUI voor nut als al die opties niet werken vraag ik me af... maargoed;

Ik zie daardoor wel meer als ik forward-traffic en local-traffic aanzet maar nog niet de rule die ik wil zien terwijl alle logging aan zou moeten staan volgens de rule. En dan met name "allowed traffic" ben ik nieuwsgierig naar.

Klik voor screenshot

Zoals je kunt zien wordt de rule veel gehit, 9K keer inmiddels maar logging? Ho maar. Slechts een paar hits op andere rules.

Overigens is de "disable" die je ziet, NAT.

[KnoxNL]

Heb je de goede interfaces wel aan de rule hangen?

[wallywally]

KnoxNL schreef op maandag 19 juni 2017 @ 12:43:
Heb je de goede interfaces wel aan de rule hangen?

Ja.

Maar ondanks dat krijg ik heel veel hits en gaat er niets naar syslog. Dus als het de verkeerde interface zou zijn zou ik alsnog die hits terug moeten zien in mijn syslog lijkt me.

[BluRay]

wallywally schreef op maandag 19 juni 2017 @ 12:39:
[...]


Wat heeft de GUI voor nut als al die opties niet werken vraag ik me af... maargoed;

Ik zie daardoor wel meer als ik forward-traffic en local-traffic aanzet maar nog niet de rule die ik wil zien terwijl alle logging aan zou moeten staan volgens de rule. En dan met name "allowed traffic" ben ik nieuwsgierig naar.

Klik voor screenshot

Zoals je kunt zien wordt de rule veel gehit, 9K keer inmiddels maar logging? Ho maar. Slechts een paar hits op andere rules.

Overigens is de "disable" die je ziet, NAT.

Welke FortiOS draai je?
En welke filter rules heb je nu ingeschakeld?

EDIT: weet je zeker dat de rule nu gehit wordt?

[ Voor 3% gewijzigd door BluRay op 19-06-2017 12:57 ]

[wallywally]

BluRay schreef op maandag 19 juni 2017 @ 12:47:
[...]


Welke FortiOS draai je?
En welke filter rules heb je nu ingeschakeld?

v5.2.9,build736 (GA)

Ik heb forward-traffic en local-traffic ingeschakeld.

edit;

Nu lijkt er wel iets te komen als ik zelf verkeer genereer van het één naar het ander, het lijkt gewoon op een verkeerde source en/of destination.

Dan nog vind ik het heel vreemd dat de GUI dus gewoon voor spek en bonen is. Het werkt blijkbaar niet als je daar logging aan wilt zetten, zeer zeer slecht van fortinet, en ik was er al niet zo'n fan van.

[ Voor 40% gewijzigd door wallywally op 19-06-2017 13:56 ]

[BluRay]

wallywally schreef op maandag 19 juni 2017 @ 12:49:
[...]


v5.2.9,build736 (GA)

Ik heb forward-traffic en local-traffic ingeschakeld.

edit;

Nu lijkt er wel iets te komen als ik zelf verkeer genereer van het één naar het ander, het lijkt gewoon op een verkeerde source en/of destination.

Dan nog vind ik het heel vreemd dat de GUI dus gewoon voor spek en bonen is. Het werkt blijkbaar niet als je daar logging aan wilt zetten, zeer zeer slecht van fortinet, en ik was er al niet zo'n fan van.

Ah kijk het werkt dus. Opzich is de GUI wel handig, maar het dekt inderdaad niet alle functies waardoor je zo nu en dan alsnog de CLI in moet duiken. Fortinet is opzich prima spul, maar ik ben best vaak tegen hele vage problemen aangelopen. Een reboot doet wonderen bij die dingen.

[KnoxNL]

Ja echt af en toe vage shit, net als regels in de IP4 policy die het "ineens" niet meer doen, maak je een nieuwe (precies dezelfde) regel aan, gooi je de oude weg, doet hij het ineens wel

Ik heb ook nog enorme uitdagingingen met logging van het webfilter op userniveau icm de collector agents, dc agents en TS agents.

Ik ben ook niet onverdeeld positief. Maar bij mijn werkgever waar ik net begonnen ben hadden ze er net 3 gekocht voor ik binnenkwam, dus ik zal het er nog even mee moeten uitzingen

[BluRay]

KnoxNL schreef op maandag 19 juni 2017 @ 17:20:
Ja echt af en toe vage shit, net als regels in de IP4 policy die het "ineens" niet meer doen, maak je een nieuwe (precies dezelfde) regel aan, gooi je de oude weg, doet hij het ineens wel

Ik heb ook nog enorme uitdagingingen met logging van het webfilter op userniveau icm de collector agents, dc agents en TS agents.

Ik ben ook niet onverdeeld positief. Maar bij mijn werkgever waar ik net begonnen ben hadden ze er net 3 gekocht voor ik binnenkwam, dus ik zal het er nog even mee moeten uitzingen

Juist... dat is een van de problemen waar ik vaker tegenaan ben gelopen. Als je een rule aanmaakt werkt de rule niet of stoppen andere rules met werken. Idem dito bij het aanmaken van routes. Mocht je nog een keer tegen het probleem aanlopen.. probeer dan het volgende commando: diagnose firewall iprope flush
Kan je gerust uitvoeren zonder gevolgen en heeft meerdere malen vage problemen met routeringen of filtering opgelost.

[wallywally]

BluRay schreef op maandag 19 juni 2017 @ 18:27:
[...]


Juist... dat is een van de problemen waar ik vaker tegenaan ben gelopen. Als je een rule aanmaakt werkt de rule niet of stoppen andere rules met werken. Idem dito bij het aanmaken van routes. Mocht je nog een keer tegen het probleem aanlopen.. probeer dan het volgende commando: diagnose firewall iprope flush
Kan je gerust uitvoeren zonder gevolgen en heeft meerdere malen vage problemen met routeringen of filtering opgelost.

Bedankt voor je uitleg in alles. Zeer slechte enterprise apparatuur dus als ik dit zo lees.

[sneep]

Die conclusie is wel heel kort door de bocht wallywally. Als dat zo was bestonden ze niet meer. Ik heb dagelijks te maken met uitstekend functionerende fortigates.

[wallywally]

sneep schreef op dinsdag 20 juni 2017 @ 13:22:
Die conclusie is wel heel kort door de bocht wallywally. Als dat zo was bestonden ze niet meer. Ik heb dagelijks te maken met uitstekend functionerende fortigates.

Dat is de enige conclusie die ik kan trekken uit mijn eigen ervaringen en hetgeen wat hier in het topic gezegd wordt, een half werkende GUI is gewoon barslecht.

[KnoxNL]

"Zeer slecht" is het zeker niet, maar bepaalde zaken zijn gewoon flink voor verbetering vatbaar.

[Gillie]

Kijk eens naar je firewall rules, specifiek logging settings. Deze kan security events of All sessions zijn. Security events betekend dat deze enkel de zogenaamde UTM/NGFW events logged. Als deze niet geconfigureerd is, dan geen logging. Ook geen start/stop van flows/sessies.

http://cookbook.fortinet.com/logging-fortigate-traffic/

All sessions, spreekt voor zich, afhankelijk van het model en/of off-loading, logged de start/stop van een flow/sessie. Off-loading is het ontlasten van de management CPU, je kan alles via deze CPU laten lopen maar dan haalt hij de specificaties niet.