Logging, SNMP y servicios del sistema
Resumen
Un BIG-IP en producción necesita servicios de apoyo: DNS para resolver nombres, NTP para tener la hora correcta (logs, certificados, HA), syslog remoto para enviar sus logs a un servidor o SIEM, y SNMP para que el sistema de monitoreo consulte su estado y reciba alertas (traps). Esta nota los configura y explica dónde están los logs locales y cómo se ajustan sus niveles.
Requisitos previos
- IP de los servidores DNS y NTP
- IP y puerto del servidor syslog/SIEM
- IP del servidor de monitoreo SNMP, comunidad (v2c) o usuario y claves (v3)
- Que la red de gestión alcance esos servidores
Conceptos clave
| Concepto | Qué es |
|---|---|
| DNS Search Domain List | Dominios que se agregan a nombres cortos (ej. srv1 → srv1.f5lab.int) |
| Syslog remoto | Copia de los logs a un servidor externo (UDP/TCP 514) |
| Severidad | 0 Emergency … 7 Debug; un nivel registra ese y todos los más graves |
| SNMP agent | Responde consultas (UDP 161) de las IPs permitidas |
| Community | Clave en texto plano de SNMP v1/v2c |
| Trap | Alerta que el BIG-IP envía (UDP 162) |
| MIB / OID | El OID identifica un valor; el MIB le da nombre. MIBs de F5: F5-BIGIP-COMMON-MIB, F5-BIGIP-LOCAL-MIB, F5-BIGIP-SYSTEM-MIB |
| user_alert.conf | Archivo con alertas personalizadas (trap o email) basadas en mensajes de log |
Logs locales (/var/log/)
| Archivo | Contenido |
|---|---|
ltm | Tráfico: miembros up/down, RST, límites, HA, ConfigSync, errores de iRules |
secure | Autenticación de usuarios |
audit | Cambios de configuración |
gtm, apm, asm | Logs de cada módulo |
messages, daemon.log, kern.log | Sistema Linux |
SNMP v1/v2c no cifra
La comunidad viaja en texto plano. Usa SNMPv3 en producción y borra la comunidad
publicpor defecto.
Configuración (Ejemplo, Lab CBT Nuggets)
1. DNS
System > Configuration > Device > DNS > DNS Lookup Server List: 8.8.8.8 > Add; DNS Search Domain List: f5lab.int > Add > Update.
tmsh modify sys dns name-servers add { 8.8.8.8 } search add { f5lab.int }
tmsh list sys dns
2. NTP
System > Configuration > Device > NTP > Time Server List: pool.ntp.org > Add > Update.
tmsh modify sys ntp servers add { pool.ntp.org }
tmsh list sys ntp servers
3. Syslog remoto
System > Logs > Configuration > Remote Logging > Remote IP: 10.10.10.50, Remote Port: 514 > Add > Update.
tmsh modify sys syslog remote-servers add { siem1 { host 10.10.10.50 remote-port 514 } }
tmsh list sys syslog remote-servers
4. Niveles de log
System > Logs > Configuration > Options: nivel por servicio (Local Traffic, Packet Filter, etc.) > Update.
tmsh list sys syslog all-properties
Referencias: K16197 (archivos de log) y la lista de mensajes de log de LTM.
5. SNMP (agente y comunidad v2c)
- System > SNMP > Agent > Configuration > Client Allow List: la red del monitoreo (
10.10.10.0/24) > Add > Update. - System > SNMP > Agent > Access (v1, v2c) > Create: Type, Community, Source, OID (opcional), Access Read Only > Finished.
tmsh modify sys snmp allowed-addresses add { 10.10.10.0/24 }
tmsh modify sys snmp communities add { monitoreo { community-name <comunidad> source 10.10.10.0/24 access ro } }
tmsh list sys snmp
6. SNMP traps
System > SNMP > Traps > Destination > Create: Version, Community, Destination (IP del receptor), Port 162 > Finished.
7. Alertas personalizadas (trap o email)
Contenido complementario
Del temario del 301b, no de mis lecciones. Pruébalo en el lab.
Pendiente: validar en el lab
Este contenido no salió de mis clases. Probar estos comandos y pasos en BIG-IP VE antes de usarlos en un trabajo real, y corregir lo que difiera en mi versión.
Las alertas viven en /config/user_alert.conf: si un mensaje de log coincide con una expresión, alertd envía un trap SNMP o un email (requiere SMTP en System > Configuration > Device > SMTP).
alert POOL_MIEMBRO_CAIDO "Pool /Common/pool_app1_80 member .* monitor status down" {
snmptrap OID=".1.3.6.1.4.1.3375.2.4.0.300"
}
Después de editar: tmsh restart sys service alertd.
Verificación
| Comando o lugar | Qué debes ver | Si no lo ves |
|---|---|---|
tmsh list sys dns | Servidores y dominios | Paso 1 |
ntpq -np (bash) | Un servidor con * | Revisa DNS y UDP 123 |
tmsh list sys syslog remote-servers | Tu servidor remoto | Paso 3 |
| En el SIEM | Mensajes llegando del BIG-IP | Revisa ruta y firewall hacia el puerto 514 |
snmpwalk -v2c -c <comunidad> <IP-mgmt> .1.3.6.1.2.1.1 (desde el monitoreo) | Datos del sistema (sysName, sysDescr) | Revisa allowed-addresses y la comunidad |
tail -f /var/log/ltm | Eventos en vivo | — |
Errores comunes
El servidor de monitoreo no recibe respuestas SNMP
- Causa: su IP no está en Client Allow List o la comunidad/origen no coincide.
- Revisa:
tmsh list sys snmp. - Solución: agrega la red en allowed-addresses y en la comunidad.
No llegan logs al SIEM
- Causa: no hay ruta desde la gestión, firewall bloquea 514, o el nivel de log es demasiado bajo.
- Revisa:
tcpdump -ni mgmt port 514mientras generas un evento. - Solución: corrige ruta/firewall y niveles.
Las horas de los logs no coinciden entre equipos
- Causa: NTP sin sincronizar o zona horaria distinta.
- Solución: configura NTP y la misma zona horaria en todos.
/var/log se llena
- Causa: nivel Debug olvidado o iRules con
logen producción. - Solución: vuelve los niveles a Informational/Notice y quita logs de depuración.