Vai al contenuto

Inviare i log da MikroTik

Questa guida completa Inviare i log al pannello per router e switch MikroTik con RouterOS 7. I valori da inserire (indirizzo e porta) sono nella pagina dell'apparato nel pannello, già compilati: qui sotto sono indicati come <Indirizzo> e <porta in chiaro>.

1. Che cosa riceve il pannello

Con il modello MikroTik, il pannello legge i log e li mostra nella sezione Eventi della pagina Analisi e nei report:

Nella sezione Eventi Da dove viene
Accessi riusciti e falliti Gli accessi di ogni servizio (Winbox, SSH, interfaccia web, API), con utente e indirizzo
Amministrazione Le modifiche alla configurazione, con chi le ha fatte, da dove e il comando
Firewall bloccati e Traffico consentito Le regole del firewall con il log attivo, con indirizzi, porte e interfaccia (vedi il capitolo 4)

Tutti gli altri log si cercano comunque nella tessera Log.

Il MikroTik invia in UDP sulla porta in chiaro.

2. Aggiungere il MikroTik nel pannello

  1. Nella pagina Apparati, Aggiungi apparato.
  2. Categoria Router e firewall (o Switch e access point per uno switch MikroTik), modello MikroTik.
  3. Nome dell'apparato: un nome per voi, per esempio "Router sede".
  4. Riconosciuto da: Indirizzo IP, con l'indirizzo pubblico fisso da cui il MikroTik esce su Internet. Se l'indirizzo cambia, vedete il capitolo 6.
  5. Aggiungi e mostra le istruzioni.

La pagina dell'apparato mostra i comandi qui sotto già compilati con il vostro Indirizzo e la vostra porta, con il pulsante per copiarli.

3. L'invio dei log

Aprite il terminale del MikroTik: in Winbox New Terminal, oppure in SSH. Incollate i comandi della pagina dell'apparato; hanno questa forma:

/system logging action add name=esapanel target=remote remote=<Indirizzo> remote-port=<porta in chiaro> remote-log-format=syslog
/system logging add topics=info action=esapanel
/system logging add topics=warning action=esapanel
/system logging add topics=error action=esapanel
/system logging add topics=critical action=esapanel
  • Il primo comando crea la destinazione: il server con il suo Indirizzo (RouterOS accetta solo un indirizzo IP, non un nome) e la porta della subscription, nel formato syslog con data e fuso orario.
  • Gli altri inviano a quella destinazione i messaggi informativi, gli avvisi, gli errori e quelli critici: comprendono gli accessi, le modifiche e i log del firewall.

Se RouterOS risponde che remote-log-format non esiste, la vostra versione non ha questa opzione: ripetete il primo comando senza remote-log-format=syslog. Il pannello legge anche il formato predefinito.

Le stesse impostazioni sono in Winbox in System › Logging: scheda Actions per la destinazione, scheda Rules per gli argomenti.

4. Le regole del firewall

RouterOS registra una regola del firewall solo se ha il log attivo, e la riga del log non dice se il pacchetto è stato accettato o scartato. Per questo:

  1. In IP › Firewall › Filter Rules aprite la regola che volete vedere.
  2. Scheda Action: spuntate Log e scrivete un Log Prefix che contiene l'azione, per esempio DROP-WAN per una regola che scarta, ACCEPT-VPN per una che accetta. Il pannello capisce l'esito da queste parole: drop, reject, block, deny (bloccato) e accept, allow, pass (consentito), maiuscole o minuscole.
  3. Scheda General: per una regola che accetta, mettete Connection State a new, così si registra solo l'inizio di ogni connessione. Senza, ogni pacchetto diventa una riga e i log crescono molto in fretta.
  4. OK.

Una regola con il log ma senza una di quelle parole nel prefisso compare fra i log del Firewall, senza esito.

Attivate il log solo sulle regole che contano: di solito quelle che scartano il traffico da Internet e quelle che lasciano entrare servizi o VPN.

5. Controllare che i log arrivino

  1. Generate un evento: per esempio un accesso a Winbox o in SSH con una password sbagliata, poi quello giusto.
  2. Nella pagina dell'apparato, Ultimo log mostra l'ora del log appena arrivato.
  3. Nella tessera Log cercate i log dell'apparato: l'accesso fallito c'è.
  4. Dopo qualche minuto la pagina Analisi mostra l'accesso fallito nella sezione Eventi, fra gli Accessi falliti.

6. Problemi frequenti

Non arriva niente

  • Controllate la Quarantena: se i log arrivano da un indirizzo diverso da quello inserito (per esempio un router con due connessioni a Internet), sono lì. Autorizza l'indirizzo li fa entrare.
  • Verificate in System › Logging › Actions che la destinazione esapanel abbia l'Indirizzo e la porta in chiaro della vostra subscription.
  • Le regole del firewall nella catena output del MikroTik, o un firewall a monte, devono lasciar passare UDP verso <Indirizzo> sulla <porta in chiaro>.

Il MikroTik ha un indirizzo che cambia

Riconoscete il MikroTik dal Nome apparato invece che dall'indirizzo. Con il formato syslog il nome nei log è l'identità del MikroTik (System › Identity), che di fabbrica è MikroTik: date a ogni apparato un'identità sua prima di usarla nel pannello. Con il formato predefinito il nome non c'è: in questo caso serve l'indirizzo IP o un Nome DNS.

Arrivano troppi log

  • Controllate che le regole che accettano abbiano Connection State new.
  • Togliete il log dalle regole che vedono molto traffico e non vi servono.