Un log che non compare in SmartConsole ha già attraversato una catena lunga: una regola con un valore nella colonna Track, un processo che lo spedisce, un canale di fiducia verso il server indicato nell’oggetto del gateway, un file su disco e un indice che lo rende ricercabile. I due laboratori di questo modulo tagliano la catena in due punti diversi — la connettività dei log del gateway e la raccolta sul Security Management Server — e capire quale dei due è rotto vale più di qualunque comando saputo a memoria.

Dove nasce il log e dove è diretto

Il log nasce da una regola. Nella Access Control Policy il valore predefinito della colonna Track è None: una regola senza tracking non produce nulla, e nessuna diagnosi di rete la farà produrre. Gli altri valori sono Log, Detailed Log, Extended Log, Accounting — che aggiorna il log ogni dieci minuti con byte trasferiti e durata — e Alert.

La destinazione si imposta nell’oggetto del gateway: da Gateways & Servers doppio clic sull’oggetto, pagina Logs, dove scegli fra Send gateway logs to server — verso il Management Server o verso un Log Server dedicato — e Save logs locally, on this server. Dopo Publish serve una installazione di policy; dopo aver modificato l’oggetto Log Server serve Install Database sugli oggetti coinvolti.

Conta anche il comportamento in caduta: se tutti i Log Server primari sono disconnessi, il gateway inizia a inviare i log solo al primo Backup Log Server configurato; se nessun Log Server è raggiungibile, li scrive in locale. Un gateway che scrive in locale non è un gateway che ha smesso di generare log.

Lab: Troubleshoot Gateway Log Connectivity

Conviene procedere in ordine fisso. Il log esiste? Se la regola che intercetta quel traffico ha Track a None hai finito: il rimedio è nella policy. Poi lo stato dell’oggetto nella vista Gateways & Servers: OK, Attention, Problem, Waiting, Disconnected, Untrusted. Gli ultimi due hanno cause opposte — Disconnected significa che il dispositivo non si raggiunge, Untrusted che non si stabilisce la Secure Internal Communication fra Security Management Server e gateway.

Sul gateway, cpwd_admin list elenca i processi sorvegliati da WatchDog con le colonne APP, PID, STAT, #START, START_TIME e MON: STAT a E è in esecuzione, T terminato, e un #START che cresce descrive un processo che muore e riparte.

Poi: in locale si accumula qualcosa? fw lslogs elenca i file di log di sicurezza e di audit con la loro dimensione; con -e aggiunge ora di creazione e di chiusura. fw fetchlogs preleva i file da un server Check Point remoto e li deposita in $FWDIR/log/ sul server locale, anteponendo al nome quello del server di origine. Due dettagli diventano facilmente una domanda d’esame: non preleva i file attivi fw.log e fw.adtlog, e non copia — sposta, cancellando l’originale dopo una copia riuscita. Se ti serve anche il file attivo, chiudilo prima con fw logswitch, che chiude il file corrente, lo rinomina con data e ora e ne apre uno nuovo.

Lab: Troubleshoot the Security Management Server Log Collection

Il sintomo si somiglia — la vista dei log è vuota — ma qui il log è arrivato e si è fermato dopo. Due famiglie di cause.

Lo spazio disco. Il file attivo cresce senza un limite naturale, il filesystem si riempie e la raccolta si interrompe mentre il gateway continua a sembrare in salute. Si misura con fw lslogs -e e si rimette in moto ruotando il file con fw logswitch, poi archiviando o eliminando i file chiusi. Ricorda l’effetto collaterale di fw fetchlogs: libera spazio sull’origine e lo consuma sulla destinazione.

I processi del server. Sempre con cpwd_admin list compaiono lato management CPD, SMARTLOG_SERVER, INDEXER, SOLR e CPVIEWD. Un log consegnato ma non indicizzato esiste su disco e non si trova nella ricerca: è un guasto della ricerca, non della raccolta, e la prova è che il file cresce mentre la vista resta vuota.

Trappole tipiche d’esame

Il log che non nasce e il log che non arriva sono due guasti diversi. Davanti a «non vedo più i log di quel gateway» la prima domanda è se il log venga generato: Track a None, o una regola diversa che intercetta il traffico prima, danno lo stesso schermo vuoto di un canale interrotto, ma si riparano nella policy. Se invece i file locali sul gateway crescono, il log si genera e non si consegna: guarda stato dell’oggetto, SIC e destinazione configurata.

Lo spazio disco del Log Server è una causa, non un dettaglio di contorno. Un filesystem pieno ferma la raccolta senza toccare il gateway, che resta OK in ogni vista. Misura con fw lslogs -e e ruota con fw logswitch.

I network log dei gateway non sono gli audit log del Management Server. Gli audit log registrano le azioni degli amministratori sul server di gestione e vivono nei file .adtlog, distinti dai .log del traffico. Continuano ad arrivare anche quando i log dei gateway non arrivano più: vederli non dimostra che il logging dei gateway funzioni. La distinzione si riflette nei comandi: fw logswitch agisce sul log di sicurezza se non gli passi -audit.