Der Switch wusste alles, nur gefragt hat ihn keiner: Syslog zentral auf der Synology sammeln

Podcast zum Blogbeitrag:

Du kennst das: Irgendetwas war komisch im Netz, du meldest dich am Switch an, öffnest das Protokoll – und die erste Zeile lautet „System restarted“. Datum: 1. Januar. Alles davor ist weg.Genau so ging es mir neulich, als ich meinen Zyxel-Switch auf eine Sicherheitslücke abgeklopft habe. Das Protokoll im Gerät ist klein, übersteht nicht jeden Neustart, und direkt neben „View“ sitzt ein Knopf namens „Clear“. Wer den Switch übernimmt, räumt dort als Erstes auf.Die Lösung ist alt und unspektakulär: Die Geräte schicken ihre Meldungen an einen anderen Rechner. Bei mir ist das die NAS. Eine Synology bringt einen Synology Syslog Server schon mit, er heißt nur anders: Protokoll-Center. Die Einrichtung dauert zehn Minuten. Die Stolperstellen haben mich deutlich länger gekostet, und die bekommst du hier gleich mit.

Ziel

• Die NAS nimmt Syslog-Meldungen aus dem Netz an und legt sie getrennt nach Gerät ab.
• Der Switch schickt seine Protokolle dorthin. Sie überleben damit Neustarts und einen Klick auf „Clear“.
• Bei jeder Admin-Anmeldung am Switch bekommst du eine Benachrichtigung.

Voraussetzungen

• Eine Synology mit DSM 7 und dem Paket Protokoll-Center (englisch Log Center). Bei mir: DSM 7.4.1, Protokoll-Center 1.3.2.
• Ein Gerät, das Remote-Syslog kann. Ich zeige es am Zyxel GS1900 und an Access Points, die über Nebula verwaltet werden.
• Eine feste IP-Adresse für die NAS. Die Geräte merken sich die Adresse, nicht den Namen.
• Ein eigener freigegebener Ordner für die Protokolle. Warum, steht in Schritt 1.

Schritt 1: Einen eigenen Ordner für die Protokolle anlegen

Das Protokoll-Center braucht einen freigegebenen Ordner als Ablage. Leg dafür einen eigenen an, zum Beispiel Protokolle, unter Systemsteuerung → Freigegebener Ordner → Erstellen.Ich habe beim ersten Anlauf einen vorhandenen Ordner genommen. Das Protokoll-Center legt dann für jedes sendende Gerät einen Unterordner direkt in dessen oberste Ebene, mit einer Datenbankdatei darin. Zwischen Handbüchern und PDFs standen bei mir plötzlich Ordner mit Gerätenamen. Funktioniert, sieht aber aus wie ein Schreibtisch nach dem Umzug.

Schritt 2: Den Synology Syslog Server einschalten

Archivziel festlegen. Öffne das Protokoll-Center und geh auf Archiveinstellungen. Wähle unter Ziel deinen neuen Ordner und klick auf Übernehmen. Ohne Ziel lässt DSM dich später keine Empfangsregel anlegen („Bitte wählen Sie einen Speicherort, bevor Sie fortfahren“).Den Haken bei Protokolle nach Gerät getrennt archivieren würde ich drinlassen. Dann kannst du später ein einzelnes Gerät wieder loswerden, ohne den Rest anzufassen.Empfangsregel anlegen. Geh auf Protokollempfang → Erstellen:

• Name: frei wählbar, bei mir Netzwerkgeraete
• Protokollformat: BSD-Format
• Transferprotokoll: UDP
• Port: 514

Mit OK und Übernehmen ist der Empfang aktiv.Danach wieder prüfen. Per SSH auf der NAS:

netstat -lnu | grep ':514'

udp        0      0 0.0.0.0:514             0.0.0.0:*

Die zweite Zahl ist der Empfangspuffer. Sie sollte bei 0 stehen. Merk dir die Stelle, sie kommt weiter unten noch einmal vor.Hinweis: Wenn die Firewall von DSM eingeschaltet ist, braucht sie eine Regel, die UDP 514 aus deinem internen Netz erlaubt.

Schritt 3: Den Switch anbinden

Am Zyxel GS1900 sitzt die Einstellung unter Configuration → Management → Syslog → Remote. Mit Add legst du das Ziel an:

• Server: die IP-Adresse der NAS
• Server Port: 514
• Severity: info
• Facility: local0

Dann Apply – und oben in der Leiste Save. Ohne Save ist die Einstellung nach dem nächsten Neustart wieder weg, und genau für den Neustart machen wir das hier ja.Mehr als Server, Port, Stufe und Facility bietet der GS1900 nicht an. Verschlüsselung gibt es an dieser Stelle keine. Dazu mehr bei den Stolperstellen.

So prüfst du es

Melde dich am Switch ab und wieder an. Ein paar Sekunden später steht der Eintrag im Protokoll-Center unter Protokolle, und im Archivordner gibt es einen Unterordner mit dem Namen des Switches.So sahen die ersten Einträge bei mir aus, nachdem ich am Switch kurz HTTP ein- und wieder ausgeschaltet hatte:

19:19:02  info    System http daemon is set to enabled
19:24:26  notice  New HTTPs connection for user admin, source 192.0.2.56  ACCEPTED
19:25:08  info    System http daemon is set to disabled

Jede Anmeldung, jede Änderung an den Diensten, mit Uhrzeit und Absender. Genau das, was im Gerät selbst nach einem Neustart fehlt.Kommt tagelang nichts an, muss das kein Fehler sein. Ein Switch in einem ruhigen Netz hat schlicht nichts zu erzählen. Bei mir lagen zwischen zwei Einträgen fünf Tage. Deshalb: immer mit einer eigenen Anmeldung testen und nicht warten, bis von selbst etwas kommt.

Schritt 4: Bei Admin-Anmeldungen benachrichtigen lassen

Unter Benachrichtigungen kannst du dich melden lassen, wenn ein Eintrag eine bestimmte Schwere hat oder ein Stichwort enthält.Für den Switch passt das Stichwort user gut: Jede Anmeldung enthält „user admin“. Meldet sich jemand an, und du warst es nicht, weißt du es sofort.Dieses eine Wort hat mir allerdings auch den Nachmittag verhagelt. Und damit zum unangenehmen Teil.

Schritt 5 (mit Vorsicht): Access Points über Nebula anbinden

Meine Access Points werden über Zyxel Nebula verwaltet. Dort gibt es den Syslog-Server unter Standortweit → Konfigurieren → Allgemeine Einstellung → Berichten: IP-Adresse eintragen, als Typ AP Log wählen, speichern.Drei Klicks, läuft. Ich habe es eingerichtet, kurz geprüft, dass etwas ankommt, und mich anderen Dingen gewidmet.Fünf Tage später sah es so aus:

• 1,64 Millionen Einträge von einem einzigen Access Point. Das sind gut drei pro Sekunde, rund um die Uhr.
• Von den letzten 20.000 Einträgen waren 17.314 Debug-Meldungen. Fast immer dieselbe Zeile: init_user_aware: entered: (null), (null), (null), (null).
• Die Datenbanken der beiden Access Points waren zusammen gut 1,3 GB groß.
• Der Empfangspuffer auf Port 514 stand dauerhaft am Anschlag. Die NAS hat also Meldungen verworfen – im Zweifel auch die eine wichtige vom Switch.
• Und weil jede dieser Debug-Zeilen das Wort user enthält, hat meine schöne Benachrichtigungsregel bei jeder einzelnen angeschlagen. Auf dem DSM-Desktop poppte im Sekundentakt dieselbe Meldung auf, und die NAS war mit dem Abarbeiten gut beschäftigt.

Der Grund: Nebula schickt bei den Access Points alles, jede Kategorie in jeder Stufe. Eine Auswahl wie „nur ab Warnung“ habe ich in meiner Nebula-Ausgabe nicht gefunden, und das Protokoll-Center kann beim Empfang nicht filtern.Ich habe das Syslog der Access Points deshalb wieder abgeschaltet. Für Geräte, die ihre Protokolle nicht dosieren können, ist ein kleiner NAS-Dienst der falsche Empfänger.

Rückweg

• Switch: unter Syslog → Remote den Eintrag löschen, dann Save.
• Nebula: den Syslog-Server-Eintrag über das Papierkorb-Symbol entfernen und speichern. Nach ein bis zwei Minuten ist Ruhe.
• NAS: unter Protokollempfang den Haken bei „Aktivieren“ herausnehmen oder die Regel löschen.
• Aufräumen: Die Ordner der abgeklemmten Geräte im Archivziel kannst du danach löschen.

Stolperstellen aus der Praxis

• Erst zuhören, dann anbinden. Bevor ein Gerät dauerhaft senden darf, schau dir eine Stunde lang an, was und wie viel es schickt. Der Überblick im Protokoll-Center zeigt die Anzahl pro Minute. Drei Meldungen am Tag sind ein Protokoll, drei pro Sekunde sind ein Wasserschaden.
• Der Rückstau läuft nach. Auch nachdem die Access Points still waren, kamen die Einblendungen weiter. Der Protokolldienst der NAS hatte die Treffer noch im Speicher und arbeitete sie einzeln ab. Geholfen hat, die Stichwort-Regel unter Benachrichtigungen abzuschalten und zu übernehmen. Dabei startet DSM den Dienst neu, und der Rückstau ist weg.
• Stichwörter sind gröber, als man denkt. user passt auf „user admin“ – und auf jede Debug-Zeile, in der irgendwo user= steht. Wähl Stichwörter erst, wenn du die echten Meldungen deiner Geräte gesehen hast.
• UDP 514 ist unverschlüsselt und prüft keinen Absender. Jeder im Netz kann der NAS Meldungen unterschieben oder mitlesen. Im internen Netz ist das vertretbar, über Standorte hinweg oder durchs Internet nicht. Die Synology könnte auch TCP mit TLS, mein Switch kann es nicht.
• Archivieren heißt nicht löschen. Die Archivregeln lagern alte Protokolle nur aus. Der belegte Platz wächst weiter. Wer wie ich die NAS ohnehin gut gefüllt hat, sollte gelegentlich in den Ordner schauen.
• Ohne richtige Uhrzeit sind Protokolle halb so viel wert. Mein Switch schreibt nach einem Neustart erst einmal den 1. Januar, bis er die Zeit geholt hat, und die Access Points lagen eine Stunde daneben, weil sie in UTC protokollieren. Zeitsynchronisation gehört deshalb vor das Syslog. Wie das an einem Switch aussieht, steht in „NTP auf Aruba CX sauber einrichten“.
• Nicht jedes Gerät kann es. Mein Kabelrouter kann seine Protokolle meines Wissens nicht an einen anderen Rechner schicken, und bei Kamera, Drucker oder Fernseher sieht es meist genauso aus. Zentral heißt in der Praxis: Switch, vielleicht Firewall, vielleicht ein paar Linux-Kisten.
• Am Switch: Save. Ich schreibe es noch einmal, weil es das Tutorial sonst ad absurdum führt.

Fazit

Ein Synology Syslog Server ist in zehn Minuten eingerichtet und macht aus dem Switch einen Zeugen, den man nach einem Vorfall tatsächlich befragen kann. Die eigentliche Arbeit ist nicht das Anbinden, sondern das Dosieren: Ein Gerät, das alles protokolliert, ist genauso nutzlos wie eines, das nichts protokolliert – nur lauter. Mein Switch schickt jetzt ein paar Zeilen pro Woche, und jede davon lese ich. Die Access Points dürfen wieder für sich behalten, was init_user_aware so treibt.