tgoop.com/life_of_network_engineer/167
Create:
Last Update:
Last Update:
Задача: настроить коммутаторы Juniper QFX на отправку syslog over TLS
Такое потребовалось в одном изолированном контуре, где все должно быть максимально БЕЗОПАСНО 🔐
3 шага для настройки
🔑 Шаг 1: Установка сертификата
Тут два варианта.
1. Получить сертификат от вашего CA
Указываем URL для получения сертификата:
set security pki ca-profile tls-syslog enrollment url http://your-ca-server/certsrv
Получаем сертификат:
request security pki ca-certificate enroll ca-profile tls-syslog
Сертификат будет автоматически сохранён и использован.
2. Скачать уже готовый сертификат на устройство (например, через SCP)
Далее загружаем сертификат:
request security pki ca-certificate load ca-profile tls-syslog filename /var/tmp/cert_ca.pem
Проверяем, что сертификат был загружен:
show security pki ca-certificate
LSYS: root-logical-system
CA profile: tls-syslog
Certificate identifier: tls-syslog
Issued to: Okko CA Certificate, Issued by: C = RU, ST = Saint-Petersburg, O = Okko, OU = Technical Department, CN = Okko CA Certificate
Validity:
Not before: 09-11-2025 14:32 UTC
Not after: 09- 9-2035 14:32 UTC
Public key algorithm: ecdsaEncryption(384 bits)
Keypair Location: Keypair generated locally
🔑 Шаг 2: Создание ca-группы и ca-профиля
set security pki ca-profile tls-syslog ca-identity tls-syslog
set security pki ca-profile tls-syslog revocation-check disable
set security pki trusted-ca-group tlsdetails ca-profiles tls-syslog
🔑 Шаг 3: Настройка syslog с TLS
10.15.24.37 - Syslog-сервер
set system syslog host 10.15.24.37 any any
set system syslog host 10.15.24.37 interactive-commands any
set system syslog host 10.15.24.37 port 1515
set system syslog host 10.15.24.37 source-address 10.1.25.130
set system syslog host 10.15.24.37 transport tls
set system syslog host 10.15.24.37 tlsdetails trusted-ca-group tls-syslog ca-profiles tls-syslog
set system syslog host 10.15.24.37 structured-data
set system syslog file interactive-commands interactive-commands any
set system syslog file messages any any
set system syslog file messages authorization info
set system syslog source-address 10.15.25.130
Можно проверять логи на Syslog-сервере.
Документация Juniper: Syslog over TLS.