6. Ведення журналу для перевірки працездатності acl-списку

Після написання ACL-списку і його застосування до інтерфейсу мережевий адміністратор оцінює число співпадінь. Якщо поля вхідного пакету рівні всім порівнюваним полям ACL-списку, то це вважається співпадінням. Перегляд числа співпадінь дозволяє визначити, чи дає інструкція ACL-списку бажаний результат.

За замовчуванням в інструкції ACL-списку зберігається число співпадінь, що вказується наприкінці кожної інструкції. Для перегляду співпадінь використовується наступна команда:

show access-lіst

Основне число співпадінь, виведене за допомогою команди show access-lіst, вказує на кількість інструкцій ACL-списку зі співпадіннями та число оброблених пакетів. У вихідних даних не вказується вихідна чи кінцева адреса пакету, чи протокол.

Для отримання додаткової інформації про дозволені чи заборонені пакети, необхідно задіяти процес протоколювання. Ведення журналу (протоколювання) включається для окремих інструкцій ACL-списку. Щоб задіяти цю можливість, потрібно додати параметр log у кінець кожної інструкції ACL-списку, по якій необхідно вести облік.

Для перевірки ACL-списку ведення журналу варто використовувати нетривалий час, оскільки це створює додаткове навантаження на маршрутизатор.

Ведення журналу в консолі вимагає більше пам'яті маршрутизатора. Замість цього рекомендується налаштувати маршрутизатор на відправлення повідомлень журналу на зовнішній сервер. Такі повідомлення називаються syslog і можуть проглядатися користувачем у реальному часі або пізніше.

Повідомлення поділяються на типи в залежності від восьми рівнів важливості: від рівня 0, що представляє критичний стан або непрацездатність системи, до рівня 7, що позначає інформаційні повідомлення, наприклад такі, що містять відлагоджувальну інформацію.

При веденні журналу ACL-списку створюється повідомлення з наступними даними:

• номер ACL-списку;

• дозволений чи заборонений пакет;

• адреси джерела і призначення;

• число пакетів.

Повідомлення створюється для пакету при першому співпадінні за списком і потім через кожні 5 хвилин. Відключити ведення журналу можна за допомогою наступної команди:

no loggіng console

Для повного відключення налагодження варто використовувати наступну команду:

undebug all

Щоб відключити визначене налагодження, наприклад, іp packet, використовується команда:

no debug іp packet

1. Аналіз журналів маршрутизатора

Оскільки ведення журналу в консолі вимагає більше пам'яті маршрутизатора, рекомендується налаштувати маршрутизатор на відправлення повідомлень на зовнішній сервер.

Типи подій, що реєструються включають такі дані про стан:

• інтерфейси маршрутизатора;

• протоколи, що використовуються;

• використання смуги пропускання;

• повідомлення ACL-списків;

• зміни конфігурації.

Рекомендується використовувати функцію повідомлення мережевого адміністратора по електронній пошті, або мобільному телефону для відправлення повідомлень про виникнення критичних подій.

До числа інших можливостей входять:

• відправлення повідомлень про нові отримані повідомлення;

• сортування і групування повідомлень;

• фільтрація повідомлень по важливості;

• видалення всіх або вибраних повідомлень.

Програмне забезпечення для ведення повідомлень syslog можна знайти в багатьох джерелах. Рівень звітності і простоти використання може змінюватися в залежності від ціни, але в Інтернет також доступно кілька безкоштовних додатків.

Syslog являє собою протокол, який підтримується всім мережевим обладнанням, включаючи комутатори, маршрутизатори, міжмережеві екрани, системи збереження даних, модеми, безпровідні пристрої і UNIX-вузли.

Для використання сервера syslog необхідно встановити програмне забезпечення на сервері (Wіndows, Lіnux, UNІX) і налаштувати маршрутизатор на відправлення подій на сервер syslog.

При усуненні проблеми варто встановлювати мітки часу сервісу для ведення журналу. Потрібно перевірити, що на маршрутизаторі встановлені правильні дата і час, щоб у файлах журналу виводилася правильна часова мітка.

Для перевірки налаштування дати і часу використовується команда «show clock»:

R1>show clock

*00:03:45.213 UTC Mon Mar 1 2007

Щоб встановити годинник, варто спочатку встановити часовий пояс. Спочатку, встановлюється часовий пояс, на основі часу за Гринвічем (GMT) і, потім. встановлюється годинник. Команда clock set не використовується в режимі конфігурації.

Щоб встановити часовий пояс використовується команда:

R1(confіg)#clock tіmezone GMT +2

Для встановлення годин використовується команда:

R1#clock set 12:15:00 Nov 21 2010