Vai al contenuto

Inviare i log da pfSense e OPNsense

Questa guida completa Inviare i log al pannello per i firewall pfSense e OPNsense. I valori da inserire (indirizzo e porta) sono nella pagina dell'apparato nel pannello, già compilati: qui sotto sono indicati come <Indirizzo> e <porta in chiaro>.

1. Che cosa riceve il pannello

Il firewall invia tutti i suoi log. Con il modello pfSense / OPNsense, il pannello li legge e li mostra nella sezione Eventi della pagina Analisi e nei report:

Nella sezione Eventi Da dove viene
Firewall bloccati Le connessioni bloccate dalle regole, con indirizzo di origine, destinazione, porta e interfaccia
Traffico consentito Le connessioni passate dalle regole per cui avete attivato il log
Accessi riusciti e falliti Gli accessi all'interfaccia web e in SSH, con utente e indirizzo
Amministrazione Le modifiche alla configurazione, con chi le ha fatte e da dove
Attacchi rilevati Gli indirizzi segnalati e bloccati dalla protezione contro i tentativi di accesso ripetuti
VPN I tunnel IPsec stabiliti e quelli falliti

Tutti gli altri log (servizi, DHCP, sistema) si cercano comunque nella tessera Log.

Il firewall invia in UDP sulla porta in chiaro: pfSense non offre altro per l'invio remoto.

2. Aggiungere il firewall nel pannello

  1. Nella pagina Apparati, Aggiungi apparato.
  2. Categoria Router e firewall, modello pfSense / OPNsense.
  3. Nome dell'apparato: un nome per voi, per esempio "Firewall sede".
  4. Riconosciuto da: Indirizzo IP, con l'indirizzo pubblico fisso da cui il firewall esce su Internet. Se l'indirizzo cambia, vedete il capitolo 6.
  5. Aggiungi e mostra le istruzioni.

La pagina dell'apparato mostra i passi qui sotto già compilati con il vostro Indirizzo e la vostra porta.

3. pfSense

Le impostazioni sono in Status › System Logs › Settings.

Usate l'indirizzo, non il nome

Nel campo del server remoto scrivete l'Indirizzo (l'indirizzo IP del server, nella pagina dell'apparato), non il nome del server: così l'invio non dipende dal DNS del firewall.

I passi

  1. General Logging Options › Log Message Format: scegliete syslog (RFC 5424, with RFC 3339 microsecond-precision timestamps). Con questo formato ogni log porta il suo fuso orario.
  2. Lasciate spuntato Log packets matched from the default block rules in the ruleset: sono le connessioni bloccate.
  3. Remote Logging Options:
  4. spuntate Enable Remote Logging;
  5. Source Address: Default (any);
  6. IP Protocol: IPv4;
  7. Remote log servers: <Indirizzo>:<porta in chiaro>, per esempio 203.0.113.5:18670.
  8. Remote Syslog Contents: spuntate Everything.
  9. Save.

Le connessioni consentite (facoltativo)

Per vedere nel pannello anche il traffico consentito, attivate il log nelle regole che vi interessano: Firewall › Rules, modificate la regola, Extra Options, spuntate Log packets that are handled by this rule, Save e Apply Changes.

Fatelo solo sulle regole che contano (per esempio l'accesso dall'esterno a un server, o le VPN): una regola che fa passare tutta la navigazione dell'ufficio produce moltissimi log.

I tunnel IPsec

Se avete tunnel IPsec, pfSense scrive molti messaggi di servizio (rinnovi delle chiavi, controlli che il tunnel sia vivo): possono essere la maggior parte dei log. Se riempiono i log, abbassatene i livelli in VPN › IPsec › Advanced Settings › IPsec Logging Controls. I tunnel stabiliti e quelli falliti restano visibili.

4. OPNsense

Le impostazioni sono in System › Settings › Logging, scheda Remote.

  1. Il pulsante + aggiunge una destinazione.
  2. Compilate:
Campo Valore
Enabled Spuntato
Transport UDP(4)
Applications Vuoto: tutte
Levels Tutti tranne debug
Facilities Vuoto: tutte
Hostname <Indirizzo>
Port <porta in chiaro>
RFC5424 Spuntato
Description Esapanel
  1. Save, poi Apply.

Scegliete i livelli: se il campo Levels resta vuoto, OPNsense invia anche i messaggi di debug, numerosi e senza utilità per il monitoraggio.

Per le connessioni bloccate e consentite, spuntate Log nelle regole che vi interessano (Firewall › Rules), con lo stesso criterio di pfSense: solo le regole che contano.

5. Controllare che i log arrivino

  1. Generate un evento: per esempio un accesso all'interfaccia web del firewall con una password sbagliata, poi quello giusto.
  2. Nella pagina dell'apparato, Ultimo log mostra l'ora del log appena arrivato.
  3. Nella tessera Log cercate i log dell'apparato: l'accesso fallito c'è.
  4. Dopo qualche minuto la pagina Analisi mostra l'accesso fallito nella sezione Eventi, fra gli Accessi falliti.

6. Problemi frequenti

Non arriva niente

  • Controllate la Quarantena: se i log arrivano da un indirizzo diverso da quello inserito (per esempio un firewall con due connessioni a Internet), sono lì. Autorizza l'indirizzo li fa entrare.
  • Verificate di aver scritto l'Indirizzo e la porta in chiaro della vostra subscription, non la porta 514.
  • Un firewall a monte, o le regole in uscita del firewall stesso, devono lasciar passare UDP verso <Indirizzo> sulla <porta in chiaro>.

Il firewall ha un indirizzo che cambia

Riconoscete il firewall dal Nome apparato invece che dall'indirizzo. Il nome è quello che il firewall scrive nei log: su pfSense e OPNsense è il nome e il dominio indicati in System › General Setup (pfSense) o System › Settings › General (OPNsense), per esempio pfSense.home.arpa. Date a ogni firewall un nome suo, diverso da quello di fabbrica, prima di usarlo nel pannello.

Arrivano troppi log

  • Togliete il log dalle regole che fanno passare molto traffico.
  • Su pfSense abbassate i livelli di IPsec (vedi I tunnel IPsec); su OPNsense escludete il livello debug.
  • Gli apparati della rete locale che si annunciano (per esempio sulla porta 5353, mDNS) possono fare la maggior parte delle connessioni bloccate: se non vi servono, non registrate le regole che li bloccano.