Inviare i log al pannello

1. Introduzione

Che cosa fa il servizio

CSP (Central Syslog) di Esapanel raccoglie i log dei vostri server e dei vostri apparati di rete: accessi riusciti e falliti, errori, avvisi, eventi dei firewall e delle VPN. Li conserva nella vostra subscription, ve li fa cercare, analizzare e riassumere nei report, anche come supporto alla documentazione delle misure di sicurezza richieste dalla direttiva NIS2.

I log arrivano con il protocollo syslog, lo standard che quasi tutti gli apparati di rete conoscono. Per i server Windows e Linux c'è l'agente Esapanel, un piccolo programma che legge gli eventi del server e li invia al pannello.

A chi si rivolge questa guida

Al personale IT dell'azienda, o al fornitore che ne gestisce i sistemi. Serve sapere come si configura un server o un firewall; non serve conoscere Esapanel.

La guida tratta solo l'invio dei log: come configurare i server e gli apparati e come controllare che i log arrivino.

Che cosa serve

Una subscription CSP attiva.
Un utente del pannello che possa aprire la pagina Apparati della subscription (nel pannello: la subscription, poi la tessera Apparati).
L'accesso amministrativo ai server e agli apparati da configurare.
Che i server e gli apparati possano uscire verso Internet verso il server del pannello, sulle porte indicate più avanti. Non serve aprire nessuna porta in ingresso.

In questa guida i nomi e gli indirizzi sono esempi (example.it, 192.0.2.10, 203.0.113.10, 2001:db8::10). I valori veri della vostra subscription sono nella pagina Apparati.

2. Dove trovare i valori

Il server e le porte della subscription sono in evidenza nella pagina della subscription, nel riquadro Ricezione dei log in alto: Server, Porta in chiaro, Porta TLS e Porta degli agenti.

Tutti i valori da inserire negli apparati sono anche nella pagina Apparati della subscription, nel riquadro Invio dei log in alto:

Campo della pagina	Che cosa contiene	Nella guida
Server	Il nome del server a cui inviare. Se la subscription riceve su un indirizzo dedicato, qui c'è quell'indirizzo	`<server>`
Porta	La porta della subscription, in chiaro	`<porta in chiaro>`
Protocolli	"UDP o TCP, syslog RFC 3164 o RFC 5424"
Su TLS (cifrato)	Il nome del server e la porta TLS, nella forma `nome:porta`	`<nome del server>` e `<porta TLS>`
Porta degli agenti	Il nome del server e la porta degli agenti, nella forma `nome:porta`	`<porta degli agenti>`

Accanto a server e porta il pulsante Copia copia il valore.

Le istruzioni di ogni apparato (vedi il capitolo 4) ripetono questi valori, già compilati, e aggiungono il campo Indirizzo: l'indirizzo IP del server, per gli apparati che non accettano un nome.

Le porte sono assegnate a ogni subscription e sono diverse da una subscription all'altra: usate sempre quelle della vostra pagina Apparati, mai porte prese da altri esempi.

Se la pagina dice "La subscription non ha ancora una porta", la ricezione non è ancora pronta: contattate il fornitore del servizio.

3. Le porte di ricezione

Ogni subscription riceve i log su tre porte, tutte sullo stesso server.

Porta	Come arrivano i log	Per chi
Porta in chiaro (`<porta in chiaro>`)	UDP o TCP, senza cifratura	Gli apparati che non supportano TLS; rsyslog e NXLog
Porta TLS (`<porta TLS>`, riga Su TLS (cifrato))	TCP con TLS: i log viaggiano cifrati. Il server dimostra il suo nome con il suo certificato; l'apparato non deve presentare un certificato	Router e firewall che supportano syslog su TLS
Porta degli agenti (`<porta degli agenti>`)	TCP con TLS, e l'agente si presenta con un certificato client suo	Solo l'agente Esapanel, che la usa da solo

La porta degli agenti non va configurata: l'agente la riceve dal pannello quando si installa. Va solo consentita in uscita nel firewall dei server con l'agente, prima dell'installazione: la trovate nel riquadro Ricezione dei log e nella pagina Apparati.

Quale porta usare

Chi invia	Come	Porta
Server Windows	Agente Esapanel (consigliato)	Sceglie da solo: porta degli agenti
Server Windows	NXLog Community Edition, in alternativa	Porta in chiaro, TCP
Server Linux (Debian, Ubuntu, Red Hat, Rocky, AlmaLinux)	Agente Esapanel (consigliato)	Sceglie da solo: porta degli agenti
Server Linux	rsyslog, in alternativa	Porta in chiaro, TCP
Router o firewall che supporta syslog su TLS	Impostazioni syslog dell'apparato	Porta TLS, con il nome del server
Router o firewall senza TLS	Impostazioni syslog dell'apparato	Porta in chiaro, UDP o TCP
Switch, access point, NAS, altri apparati	Impostazioni syslog dell'apparato	Porta TLS se la supportano, altrimenti porta in chiaro

Sicurezza, in breve

In chiaro: i log attraversano Internet leggibili da chi si trova sul percorso. Va bene per log poco sensibili o quando l'apparato non offre altro.
TLS: i log viaggiano cifrati e l'apparato verifica di parlare con il server giusto. È la scelta da preferire per la NIS2, che chiede di proteggere i dati in transito.
Certificato client (agente): oltre alla cifratura, il pannello sa con certezza quale agente sta inviando: sulla porta degli agenti entrano solo gli agenti della vostra subscription, ciascuno con il suo certificato.

Condizioni del TLS

Usate il nome del server, non l'indirizzo IP. Il certificato del server porta il suo nome: se l'apparato si collega con l'indirizzo IP, la verifica del certificato fallisce.
Solo TCP: su UDP il TLS non c'è.
L'apparato deve fidarsi dell'autorità che ha emesso il certificato del server e avere l'orologio giusto, altrimenti rifiuta il certificato.
L'agente Esapanel usa il TLS da solo quando il certificato del pannello è valido (non autofirmato); non c'è niente da configurare.

Porte 514 e 6514 su un indirizzo dedicato

Alcuni apparati non permettono di scegliere la porta e inviano solo sulla porta standard 514 (syslog) o 6514 (syslog su TLS). Per questi casi la subscription può ricevere su un indirizzo IP dedicato, assegnato dal fornitore del servizio.

Con un indirizzo dedicato la pagina Apparati mostra:

"Gli apparati possono inviare anche a <indirizzo dedicato> sulla porta standard 514": il pulsante Ricevi anche sulla porta 514 la attiva, Spegni la porta 514 la spegne;
la stessa cosa per la 6514, con Ricevi anche sulla porta 6514 e Spegni la porta 6514.

Sono porte in più: la 514 porta i log alla porta in chiaro della subscription, la 6514 alla porta TLS. Le porte della subscription restano aperte. Senza indirizzo dedicato le porte 514 e 6514 non sono disponibili.

Con la 6514 l'apparato si collega all'indirizzo dedicato, ma il certificato porta il nome del server: l'apparato deve poter verificare quel nome. Se non ci riesce, usate il nome del server con la porta TLS della subscription.

4. Aggiungere un apparato

Il pannello accetta solo i log degli apparati della subscription. I log di un mittente che non è fra gli apparati non vanno persi subito: aspettano nella Quarantena (vedi il capitolo 8).

L'aggiunta guidata

Nella pagina Apparati, il pulsante Aggiungi apparato apre tre passi:

Categoria: "Che cosa vuoi aggiungere?" Server; Router e firewall; Switch e access point; Storage (NAS); Altro apparato.
Modello: i modelli della categoria (l'elenco è nel capitolo 7). Se il vostro non c'è, scegliete Altro.
Nome e istruzioni: il Nome dell'apparato, quello con cui lo riconoscete voi (per esempio "Firewall dell'ufficio"), e come il pannello lo riconosce.

Per i server Windows e per i server Linux con l'agente il terzo passo è diverso: vedete i capitoli 5 e 6.

Per gli altri apparati il terzo passo chiede:

Campo	Che cosa scrivere
Nome dell'apparato	Un nome per voi
Riconosciuto da	Come il pannello riconosce i log dell'apparato (vedi sotto); il pannello propone la scelta adatta al modello
Indirizzo o nome	Il valore corrispondente
Fuso orario	Il fuso orario dell'orologio dell'apparato, per esempio `Europe/Rome`
Avvisa se tace da	Un'email se l'apparato smette di inviare (vedi il capitolo 8)

Poi Aggiungi e mostra le istruzioni: l'apparato è registrato e la sua pagina mostra le istruzioni del modello, già compilate con i valori della subscription.

Come un apparato viene riconosciuto

Riconosciuto da	Esempio	Quando usarlo
Indirizzo IP	`203.0.113.10` o `2001:db8::10`	L'indirizzo pubblico fisso da cui l'apparato invia. È la scelta normale per router e firewall
Rete	`203.0.113.0/28`	Più indirizzi fissi della stessa rete
Nome DNS	`sede.example.it`	Un indirizzo che cambia, con un nome DNS (anche dinamico) che lo segue: il pannello lo risolve di nuovo periodicamente
Nome apparato	`FW-SEDE`	Il nome che l'apparato scrive in ogni log (il campo HOSTNAME del syslog). È accettato da qualsiasi indirizzo, ma solo sulle porte della vostra subscription: utile per una linea che cambia indirizzo, come una linea di backup
Agente Esapanel		Si iscrive da solo: niente da inserire

Da sapere:

L'indirizzo è quello che vede il pannello, cioè l'indirizzo pubblico della connessione Internet da cui l'apparato esce. Più apparati dietro la stessa connessione (per esempio uno switch e un NAS in ufficio) escono con lo stesso indirizzo: un apparato riconosciuto da quell'indirizzo accetta i log di tutti. Se volete distinguerli, riconoscete ciascuno dal suo Nome apparato.
Il Nome apparato è il modo meno rigido: chi conosce il nome e la porta potrebbe inviare log a suo nome. Preferite l'indirizzo IP quando è fisso, o l'agente sui server.
Per un server Linux con rsyslog il nome nei log è quello che dà il comando hostname sul server.

Se la pagina Apparati dice "Questa subscription accetta log da qualsiasi sorgente", il vostro piano non controlla i mittenti: tutti i log arrivano, anche senza apparati nella lista.

Il limite degli apparati

Il piano stabilisce quanti apparati può avere la subscription: la pagina Apparati mostra il conteggio, per esempio "3 di 10 sorgenti". Ogni apparato conta uno, anche un agente.

Quando il limite è raggiunto, Aggiungi apparato scompare e la pagina dice "Il piano consente N sorgenti: rimuovine una, o chiedi un piano più ampio". Per liberare un posto, Rimuovi un apparato non più usato: i suoi log successivi andranno nella Quarantena.

Cambiare un apparato

Nella lista, il link Istruzioni (o il nome dell'apparato) apre la sua pagina: qui potete cambiare il Nome dell'apparato e il Modello e rivedere le istruzioni. Nella lista potete cambiare Fuso orario e Avvisa se tace da, con Salva.

5. Server Windows

Con l'agente Esapanel (consigliato)

L'agente è un servizio di Windows che legge il registro eventi e invia gli eventi al pannello. Si iscrive da solo nella subscription: non ci sono indirizzi da autorizzare, anche se il server cambia indirizzo o sta dietro un NAT.

Che cosa invia:

tutto il registro Sicurezza (accessi, accessi falliti, account bloccati, utenti e gruppi cambiati);
gli avvisi e gli errori di Sistema e Applicazione.

Parte dagli eventi nuovi: lo storico già presente nel registro non viene inviato. Se il pannello non risponde, gli eventi aspettano in una coda sul disco del server e partono quando torna; dopo un riavvio del server l'agente riprende da dove si era fermato.

Installazione:

Nella pagina Apparati: Aggiungi apparato, categoria Server, modello Windows Server.
Scrivete il Nome dell'apparato (per esempio "Server di posta") e premete Mostra i comandi.
Il pannello mostra i comandi PowerShell, con il codice di iscrizione e il nome già inseriti. Copia i comandi.
Sul server, aprite PowerShell come amministratore ed eseguite i comandi. Scaricano l'agente dal pannello in C:\Program Files\Esapanel, lo installano come servizio di Windows e lo iscrivono alla subscription.
La pagina del pannello resta "In attesa dell'iscrizione dell'agente" e si aggiorna da sola. Quando l'agente si è iscritto mostra "L'agente si è iscritto." con il link Apri l'apparato.

L'apparato compare nella lista Apparati con il nome scelto, riconosciuto da Agente Esapanel.

Il server deve poter raggiungere in uscita:

l'indirizzo del pannello scritto nel comando (dopo --panel), in HTTPS: lo usa per iscriversi e, all'avvio e ogni 6 ore, per chiedere la sua configurazione;
il server della subscription sulla porta degli agenti (o, se manca il certificato, sulla porta TLS o in chiaro), in TCP.

Il certificato dell'agente. All'installazione l'agente crea una sua chiave, che non lascia mai il server, e ottiene dal pannello un certificato client valido un anno. Lo rinnova da solo un mese prima della scadenza. La pagina dell'apparato mostra "L'agente invia su TLS con il suo certificato client, valido fino al …".

Comandi utili

In PowerShell come amministratore:

Comando	Che cosa fa
`& "C:\Program Files\Esapanel\esapanel-agent.exe" status`	Mostra il nome dell'agente, dove invia (server, porta, TLS, scadenza del certificato), che cosa legge e quanti dati aspettano nella coda
`& "C:\Program Files\Esapanel\esapanel-agent.exe" uninstall`	Ferma e toglie il servizio; i dati dell'agente restano
`& "C:\Program Files\Esapanel\esapanel-agent.exe" uninstall --purge`	Toglie il servizio e cancella anche i dati dell'agente (configurazione, iscrizione, chiave, coda)

I dati dell'agente (configurazione, certificato, coda, il suo log agent.log) sono in C:\ProgramData\Esapanel\Agent, leggibili solo dagli amministratori.

Disinstallare l'agente non toglie l'apparato dal pannello: toglietelo con Rimuovi nella pagina Apparati, così libera il suo posto nel limite del piano.

Aggiornare l'agente

Aprite la pagina dell'apparato nel pannello (link Istruzioni nella lista): per un agente già iscritto mostra i comandi che aggiornano l'agente mantenendo la sua iscrizione, quindi senza creare un nuovo apparato. Eseguiteli in PowerShell come amministratore.

Un server reinstallato da zero ha perso l'iscrizione: aggiungetelo di nuovo come nuovo apparato e togliete quello vecchio.

Con NXLog (alternativa)

Se non volete installare l'agente, nella stessa pagina dei comandi la sezione Al posto dell'agente: NXLog Community Edition mostra un'alternativa con un prodotto di terzi, gratuito:

Installate NXLog Community Edition dal sito nxlog.co (il sito chiede una registrazione gratuita prima del download).
Eseguite in PowerShell come amministratore i comandi che la pagina mostra: tengono una copia della configurazione di prima, scaricano quella del pannello e riavviano NXLog.

NXLog invia gli stessi eventi dell'agente (tutto Sicurezza, avvisi ed errori di Sistema e Applicazione) sulla porta in chiaro, in TCP, con syslog RFC 5424.

Con NXLog l'apparato non si registra da solo: i primi log arrivano nella Quarantena. Da lì autorizzate l'indirizzo del server (Autorizza l'indirizzo) o il suo nome (Autorizza il nome apparato); vedi il capitolo 8. Poi, nella pagina dell'apparato, indicate il modello Windows Server.

6. Server Linux

Per i server della famiglia Debian (Debian, Ubuntu) e Red Hat (Red Hat, Rocky, AlmaLinux) il pannello offre due modi: l'agente Esapanel, consigliato, e rsyslog.

Con l'agente Esapanel (consigliato)

L'agente è un servizio systemd che legge il journal del server.

Che cosa invia:

tutti i messaggi del journal con gravità avviso o peggiore (warning, error, critical, …);
tutti i messaggi di accesso (facility auth e authpriv: sshd, sudo, su, login), a ogni gravità. Degli accessi SSH riporta l'utente e l'indirizzo, riusciti e falliti.

Come su Windows: si iscrive da solo, nessun indirizzo da autorizzare, coda su disco se il pannello non risponde, nessuna perdita dopo un riavvio; parte dai messaggi nuovi.

Installazione:

Nella pagina Apparati: Aggiungi apparato, categoria Server, modello Linux Debian / Ubuntu oppure Linux Red Hat / Rocky / AlmaLinux.
La pagina propone Con l'agente di Esapanel (consigliato). Scrivete il Nome dell'apparato e premete Mostra i comandi.
Copia i comandi ed eseguiteli sul server come root (o con sudo). Scaricano l'agente adatto all'architettura del server (amd64 o arm64) in /usr/local/bin/esapanel-agent, lo installano come servizio systemd esapanel-agent e lo iscrivono alla subscription. Serve curl.
La pagina passa da "In attesa dell'iscrizione dell'agente" a "L'agente si è iscritto." con il link Apri l'apparato.

Il pannello riconosce da solo se il server è della famiglia Debian o Red Hat. Le connessioni in uscita e il certificato funzionano come per Windows (vedi il capitolo 5).

Comandi utili (come root):

Comando	Che cosa fa
`esapanel-agent status`	Nome, dove invia (server, porta, TLS, scadenza del certificato), coda
`esapanel-agent uninstall`	Ferma e toglie il servizio; i dati restano
`esapanel-agent uninstall --purge`	Toglie il servizio e cancella anche i dati dell'agente
`systemctl status esapanel-agent`	Lo stato del servizio

I dati dell'agente sono in /var/lib/esapanel-agent, con il suo log agent.log.

Aggiornare: la pagina dell'apparato di un agente già iscritto mostra i comandi che lo aggiornano mantenendo l'iscrizione. Un server reinstallato da zero va aggiunto di nuovo come nuovo apparato, togliendo il vecchio.

Con rsyslog (alternativa)

rsyslog è il servizio syslog già presente in molte distribuzioni. Non richiede di installare l'agente.

Nell'aggiunta del server scegliete Usa rsyslog al suo posto.
Compilate i campi (vedi il capitolo 4): di solito Riconosciuto da = Nome apparato, con il nome che dà il comando hostname sul server; oppure Indirizzo IP, se il server esce con un indirizzo fisso.
Aggiungi e mostra le istruzioni. La pagina dell'apparato mostra i comandi da eseguire come root:
installano rsyslog, se manca (Debian 12 e successive non lo installano più);
scaricano dal pannello il file /etc/rsyslog.d/90-esapanel.conf (con Mostra il file potete leggerlo prima);
su Red Hat, Rocky e AlmaLinux aggiungono la porta della subscription alle porte che SELinux permette a rsyslog (dove SELinux è spento il comando dà un errore che si può ignorare);
riavviano rsyslog e inviano un log di prova ("Esapanel test").

Il file di configurazione invia tutti i log del server sulla porta in chiaro, in TCP, con syslog RFC 5424, e tiene una coda su disco: se il pannello non risponde, i log aspettano sul server.

I comandi scaricano il file da un link della subscription. Il link contiene solo nome, indirizzo e porta, nessun segreto. Codice nuovo per i link (in fondo alla pagina Apparati) ferma i comandi copiati prima; la configurazione già sui server continua a funzionare.

Altri server

Per un server che non è Windows né della famiglia Debian o Red Hat, scegliete il modello Altro della categoria Server e usate le impostazioni generali del capitolo 7.

7. Router, firewall e altri apparati

Router, firewall, switch, access point e NAS inviano i log con le loro impostazioni syslog, dall'interfaccia web o dalla riga di comando. Aggiungete prima l'apparato nel pannello (vedi il capitolo 4), di solito riconosciuto dall'indirizzo IP pubblico da cui invia; poi configuratelo.

Impostazioni generali

Impostazione dell'apparato	Valore
Server syslog	`<server>`, oppure l'Indirizzo se l'apparato vuole un indirizzo IP
Porta	`<porta in chiaro>` (oppure 514 sull'indirizzo dedicato, se attiva)
Protocollo	UDP o TCP
Formato	syslog RFC 5424 o RFC 3164 (il "classico"): vanno bene entrambi
Livello dei messaggi	Almeno informazioni, avvisi ed errori; per firewall e VPN anche gli eventi di traffico e di accesso, se vi servono

Con TLS, se l'apparato lo supporta:

Impostazione dell'apparato	Valore
Server syslog	`<nome del server>` della riga Su TLS (cifrato): il nome, mai l'indirizzo IP
Porta	`<porta TLS>` (oppure 6514 sull'indirizzo dedicato, se attiva)
Protocollo	TCP con TLS
Certificato client	Nessuno: l'apparato non deve presentarne uno

UDP o TCP? Per gli apparati basta UDP. TCP mantiene l'ordine dei log e non li perde su una linea carica; con UDP i log inviati mentre la ricezione è ferma (per esempio durante un riavvio del server) sono persi.

L'ora dei log. Ogni log ha l'ora in cui il pannello lo riceve, sempre giusta, con cui i log si cercano e si ordinano. Ha anche l'ora scritta dall'apparato:

con RFC 5424 l'apparato indica il suo fuso orario, e l'ora resta com'è;
con RFC 3164 l'apparato scrive l'ora del suo orologio senza fuso orario. Indicate nel pannello il Fuso orario dell'apparato (per esempio Europe/Rome, che comprende l'ora legale): il pannello trasforma quell'ora nell'istante giusto. "Ora così come arriva" la lascia com'è.

Il fuso orario si imposta quando si aggiunge l'apparato (il pannello propone il vostro) e si cambia nella lista Apparati; un cambio vale per i log successivi. Tenete comunque l'orologio dell'apparato sincronizzato (NTP).

Modelli con istruzioni proprie

Per questi modelli la pagina dell'apparato mostra dove si trovano le impostazioni nei menu, o i comandi da copiare, già compilati con i valori della subscription:

Categoria	Modelli
Router e firewall	DrayTek Vigor; Zyxel ZyWALL / USG FLEX; Fortinet FortiGate; Cisco ASA; Check Point; MikroTik; pfSense / OPNsense; Sophos Firewall; SonicWall; WatchGuard Firebox
Switch e access point	Cisco IOS (Catalyst); HPE Aruba; Ubiquiti UniFi; MikroTik
Storage (NAS)	Synology DSM; QNAP QTS

Alcune indicazioni delle istruzioni:

pfSense e OPNsense: guida passo per passo in Inviare i log da pfSense e OPNsense.
MikroTik: guida passo per passo in Inviare i log da MikroTik. Nelle regole del firewall serve un prefisso del log con l'azione (per esempio DROP-WAN): la riga di RouterOS non dice se il pacchetto è passato.
DrayTek Vigor: System Maintenance › SysLog / Mail Alert Setup: attivate SysLog, indicate server e porta, scegliete i tipi di messaggio da inviare.
Zyxel: se il modello non permette di cambiare la porta, serve l'indirizzo dedicato con la porta 514.
Cisco ASA: usate UDP: con TCP, se il server non risponde, l'ASA può smettere di far passare il traffico.
Synology e QNAP: scegliete il formato RFC 5424 (su Synology "IETF").

I menu cambiano con la versione del firmware: se il percorso indicato non corrisponde, cercate le impostazioni "syslog" o "remote log" dell'apparato e usate i valori delle impostazioni generali.

Per un modello che non è nell'elenco scegliete Altro: la pagina mostra i valori generali. Lo stesso vale per gli apparati della categoria Altro apparato (per esempio una stampante o un UPS che invia syslog).

8. Controllare che i log arrivino

La pagina dell'apparato

Dopo l'aggiunta, la pagina dell'apparato mostra:

Riconosciuto da: come il pannello lo riconosce;
Ultimo log: "Ultimo log da <indirizzo>, <quando>", oppure "Ancora nessun log";
finché non arriva niente, "In attesa del primo log dell'apparato: la pagina si aggiorna da sola".

Per provare, generate un evento sull'apparato: per esempio un accesso alla sua interfaccia di amministrazione. I comandi rsyslog inviano da soli un log di prova.

Per un agente la lista Apparati mostra anche "Agente <versione>, ultimo battito <quando>": l'agente invia un battito ogni 5 minuti, anche quando il server non ha eventi. Appena iscritto mostra "Iscritto: in attesa del primo battito dell'agente".

I log arrivati si vedono nella tessera Log della subscription.

La Quarantena

I log che arrivano sulle porte della vostra subscription da un mittente che non è fra gli apparati vanno nella Quarantena (tessera Quarantena). Restano qualche giorno (la pagina indica quanti), poi vengono eliminati. Sono raggruppati per Indirizzo e Nome apparato, con il numero di log e il periodo.

Per ogni mittente:

Pulsante	Che cosa fa
Autorizza l'indirizzo	Il mittente diventa un apparato riconosciuto dall'indirizzo; i suoi log in quarantena passano nella subscription
Autorizza il nome apparato	Lo stesso, riconosciuto dal nome che scrive nei log, da qualsiasi indirizzo
Scarta	Elimina i suoi log in quarantena; i successivi tornano in quarantena
Ignora l'indirizzo / Ignora il nome	I suoi log in quarantena vengono eliminati e i successivi scartati all'arrivo, solo contati. Non conta fra gli apparati. Non ignorare più, nell'elenco Mittenti ignorati, lo annulla

Un mittente autorizzato conta fra gli apparati del piano: se il limite è raggiunto, la pagina chiede di toglierne uno dalla pagina Apparati. Dopo l'autorizzazione, nella pagina dell'apparato scegliete il suo Modello.

Ignorate solo mittenti che conoscete e non volete, come un apparato di prova: i loro log non vengono conservati da nessuna parte.

La Quarantena è il primo posto da guardare quando un apparato configurato non risulta: spesso i suoi log arrivano, ma da un indirizzo diverso da quello inserito.

Avviso se un apparato tace

La colonna Avvisa se tace da della lista Apparati (Mai, 15 minuti, 1 ora, 6 ore, 24 ore) fa partire un'email quando un apparato non invia log da più di quel tempo, ad esempio un firewall spento o una sede senza collegamento, e un'altra quando riprende. Nella lista l'apparato mostra "Silenziosa dal …".

Sceglietelo per gli apparati che inviano di continuo: molti inviano solo quando succede qualcosa.
Per gli agenti è sempre utile: il battito ogni 5 minuti conta come attività, quindi un server tranquillo non sembra spento.
Se nel frattempo sono arrivati log nella Quarantena, l'email ne indica i mittenti: spesso l'apparato ha un nuovo indirizzo.

9. Problemi frequenti

Non arriva niente

La Quarantena. Se i log sono lì, l'apparato invia ma non è riconosciuto: autorizzatelo, oppure correggete l'indirizzo o il nome nella lista Apparati. Ricordate che conta l'indirizzo pubblico con cui l'apparato esce su Internet, non quello della rete interna.
Porta e protocollo. Controllate che porta e protocollo siano quelli della pagina Apparati: la porta in chiaro accetta UDP e TCP; la porta TLS solo TCP con TLS. Un apparato configurato in chiaro sulla porta TLS, o con TLS sulla porta in chiaro, non consegna niente.
Il firewall in uscita. Il vostro firewall deve lasciar uscire il traffico verso il server del pannello sulla porta usata (UDP e/o TCP). Per l'agente: l'indirizzo del pannello del comando, in HTTPS, e la Porta degli agenti della pagina Apparati.
Le porte 514 e 6514 funzionano solo sull'indirizzo dedicato e solo se attivate nella pagina Apparati.
Un mittente ignorato. Controllate l'elenco Mittenti ignorati nella Quarantena.
Un agente. Eseguite il comando status e guardate il log dell'agente (agent.log nella cartella dei dati): se i dati aspettano nella coda, l'agente non raggiunge il server.

L'ora dei log è sbagliata

Se l'apparato invia RFC 3164, impostate il suo Fuso orario nella lista Apparati e salvate: vale per i log successivi.
Controllate che l'orologio dell'apparato sia giusto (NTP).
L'ora di ricezione del pannello è sempre giusta: la ricerca e l'ordine dei log usano quella.

L'iscrizione dell'agente è rifiutata

L'agente scrive "the panel refused the enrollment", seguito dal motivo.

Motivo	Che cosa fare
Il codice di iscrizione non è valido, o la subscription non è attiva	Qualcuno ha dato un Codice nuovo (sezione Codici degli agenti e dei link, in fondo alla pagina Apparati): i comandi copiati prima non iscrivono più agenti. Copiate di nuovo i comandi dalla pagina. Se la subscription è sospesa, contattate il fornitore del servizio
La subscription ha già il numero massimo di apparati	Togliete un apparato non più usato, o chiedete un piano più ampio
Troppe richieste	Aspettate un minuto e riprovate

Il codice di iscrizione permette di aggiungere apparati alla subscription: datelo solo a chi installa l'agente. Se è finito dove non doveva, date un Codice nuovo: gli agenti già iscritti continuano a funzionare.

L'agente invia senza certificato client

Se la pagina dell'apparato dice "L'agente invia senza certificato client", l'agente è stato installato prima dei certificati, oppure il pannello non poteva ancora firmarlo. L'agente richiede il certificato da solo all'avvio; se la scritta resta, reinstallatelo come nuovo apparato:

disinstallate l'agente con uninstall --purge;
togliete il vecchio apparato con Rimuovi (così non conta nel limite);
aggiungete il server come nuovo apparato ed eseguite i comandi della pagina.

Errori TLS

Il nome: l'apparato deve collegarsi al nome del server della riga Su TLS (cifrato), non all'indirizzo IP, altrimenti la verifica del certificato fallisce.
L'autorità: se l'apparato rifiuta il certificato del server, probabilmente non conosce l'autorità che lo ha emesso. Su alcuni apparati l'elenco delle autorità si aggiorna con il firmware o si importa a mano: chiedete al fornitore del servizio quale autorità usa il certificato.
L'orologio: un orologio sbagliato fa sembrare il certificato scaduto o non ancora valido.
Il protocollo: TLS solo su TCP.
Se l'apparato non riesce a usare il TLS, inviate sulla porta in chiaro.