思科log配置注意事项

网中网

PIX Software中的Syslog配置


========phanx.cn=========
Author:    phanx
Updated: 2006-10-18
=========================

Syslog默认采用 UDP的514端口。
PIX Software 6.3.x 中支持对 syslog 的协议的定制。
logging host x.x.x.x y/z
其中 x.x.x.x 为 syslog server的IP。 y 为协议号 6是 TCP， 17 是UDP， z 是端口号

也就是说PIX支持TCP方式的Syslog。
但是，需要特别注意的就是，如果采用 TCP Syslog的话一定要确保
syslog server工作正常，如果pix检测到 tcp syslog server异常，
那么pix就会中断现有的流量。
Cisco 配置手册中的原文：
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
Note:
Because this traffic is TCP (that is, with acknowledgments),
if the PFSS goes down,
traffic through the PIX stops. For this reason, the tcp syslog command should
not be implemented unless you need this kind of functionality.
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
UDP/514 syslogging does not have this effect.
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
PFSS － PIX Firewall Syslog Server

今天某一重要用户的PIX 520就出现了这种情况，由于 Syslog服务器被其它的原因弄崩溃了
导致PIX 520中断经过的所有流量。
当时PIX的show logging buffer 中全部是这个日志：
%PIX-3-201008: The PIX is disallowing new connections.
Log 解释如下：
Error Message %PIX-3-201008: The PIX is disallowing new connections.
Explanation
This message occurs when you have enabled TCP system log messaging
and the syslog server cannot be reached, or when using
PIX Firewall Syslog Server (PFSS) and the disk on the Windows NT system is full.
Recommended Action
Disable TCP system log messaging.
If using PFSS, free up space on the Windows NT system where PFSS resides.
Also, make sure that the syslog host is up and you can ping the host from the
PIX Firewall console.
Then restart TCP system message logging to allow traffic.

所以大家切记，没事别开 TCP Syslog。
第三篇是原创了 嘿嘿嘿嘿。。。
logging on
logging timestamp
logging monitor alerts
logging buffered informational
logging trap informational
logging history informational
logging host uplink 211.97.168.73
no logging message 106015
no logging message 106010
no logging message 106011
no logging message 106002
no logging message 106023
no logging message 106021
no logging message 305012
no logging message 305011
no logging message 302015
no logging message 302014
no logging message 302013
no logging message 302016
配置片断，no掉这些错误号后日志文件会减少好多，免得撑破你的硬盘。。