elk监控交换机端口指定状态日志

待我称王封你为后i 2021-12-11 04:29 493阅读 0赞

背景：某公司的交换机都配置了端口安全，即端口绑定MAC地址，限制非法用户接入公网网络。在日常维护的时候合法用户如果更换了PC设备，也会无法接入网络。这时候就要找PC接在交换机哪个端口，重新绑定MAC。但是如果网络设备很多的情况就需要一一去查看交换机日志，这是很浪费时间和效率。所以想到以下方法，如果有更好的解决方案请指导。

## 一、交换机配置 ##

1、第一种配置，直接开启接口port-security，默认只允许一个MAC地址，入侵检测默认动作port-security protect-action restrict

[SW47]display  version  
    Huawei Versatile Routing Platform Software
    VRP (R) software, Version 5.70 (S2700 V100R006C05)
    Copyright (C) 2003-2013 HUAWEI TECH CO., LTD
    Quidway S2700-9TP-EI-AC Routing Switch uptime is 0 week, 0 day, 4 hours, 43 minutes
    
    [SW47-Ethernet0/0/1]dis this
    #
    interface Ethernet0/0/1
     port link-type access
     port default vlan 14
     port-security enable
    #

入侵检测动作发送的信息：restrict

Jul 10 2019 14:54:09+08:00 SW47 L2IFPPI/4/port action Trap:OID 1.3.6.1.4.1.2011.5.25.42.2.1.7.6 The number of MAC address on interface (5/5) Ethernet0/0/1 reaches the limit, and the port status is : 1. (1:restrict;2:protect;3:shutdown)

<table> 
 <thead> 
  <tr> 
   <th> <p>参数</p> </th> 
   <th style="width:684px;"> <p>参数说明</p> </th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td style="vertical-align:top;"> <p><strong>protect</strong></p> </td> 
   <td style="vertical-align:top;width:684px;"> <p>当学习到的MAC地址数达到接口限制数时，接口将丢弃源地址在MAC表以外的报文。</p> </td> 
  </tr> 
  <tr> 
   <td style="vertical-align:top;"> <p><strong>restrict</strong></p> </td> 
   <td style="vertical-align:top;width:684px;"> <p>当学习到的MAC地址数达到接口限制数时，接口将丢弃源地址在MAC表以外的报文，同时发出告警。</p> </td> 
  </tr> 
  <tr> 
   <td style="vertical-align:top;"> <p><strong>shutdown</strong></p> </td> 
   <td style="vertical-align:top;width:684px;"> <p>当学习到的MAC地址数达到接口限制数时，接口将执行error down操作，同时发出告警。</p> </td> 
  </tr> 
 </tbody> 
</table>

2、第二种配置，全局模式开启port-security，在接口配置intrusion-mode入侵检测动作，max-mac-count数量，port-mode安全模式

[SW39]display  ver
    [SW39]display  version 
    H3C Comware Software, Version 7.1.070, Release 6113
    Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.
    H3C S3100V3-52TP-SI uptime is 4 weeks, 3 days, 0 hours, 27 minutes
    Last reboot reason : Cold reboot
    
    [SW39-Ethernet1/0/4]di this
    #
    interface Ethernet1/0/4
     port access vlan 14
     stp edged-port
     port-security intrusion-mode blockmac
     port-security max-mac-count 1
     port-security port-mode autolearn
     port-security mac-address security sticky 6c62-6d49-f547 vlan 14
    #

blockmac

当设备检测到一个非法的用户通过端口试图访问网络时，入侵检测特性用于配置设备可能对其采取的安全措施，包括以下三种方式：  
blockmac：表示将非法报文的源MAC地址加入阻塞MAC地址列表中，源MAC地址为阻塞MAC地址的报文将被丢弃。此MAC地址在被阻塞3分钟（系统默认，不可配）后恢复正常。  
disableport：表示将收到非法报文的端口永久关闭。  
disableport-temporarily：表示将收到非法报文的端口暂时关闭一段时间。关闭时长可通过port-security timer disableport命令配置。

autolearn：

端口可通过手工配置或自动学习MAC地址，这些地址将被添加到安全MAC地址表中，称之为安全MAC地址。  
当端口下的安全MAC地址数超过端口安全允许学习的最大安全MAC地址数后，端口模式会自动转变为secure模式。之后，该端口停止添加新的安全MAC，只有源MAC地址为安全MAC地址、通过命令mac-address dynamic或mac-address static手工配置的MAC地址的报文，才能通过该端口。  
该模式下，端口不会将自动学习到的MAC地址添加为MAC地址表中的动态MAC地址。

## 二、Logstach配置 ##

参考：[elk logstach收集交换机日志][elk logstach]

# 三、Kibana配置 #

1、根据第三步操作应该能看到如下的选项

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70][]

2、创建可视化视图

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 1][]

3、选择图形

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 2][]

4、选择数据源

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 3][]

5、添加关键词

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 4][]

6、添加对应主机IP

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 5][]

7、添加时间，最后点击右上角箭头运行

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 6][]

8、点击保存

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 7][]

9、重新命名，点击保存

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 8][]

10、添加到仪表

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 9][]

11、add

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 10][]

12、选择刚才保存的视图名称，就可以看到相关信息，然后点击保存

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 11][]

13、添加名称，保存就完成了

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 12][]

14、点击箭头，选择table类型，再根据时间排序。这样就可以第一时间获取交换机是否有非法设备接入

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 13][]

# 四、同样可以添加监控交换机登录用户 #

1、添加关键词

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 14][]

2、添加交换机IP

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 15][]

3、添加时间

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 16][]

4、添加相关信息

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 17][]

5、查看

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 18][]

其他图形聚合

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 19][]

[elk logstach]: https://mp.csdn.net/postedit/95195590
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70]: /images/20211211/ead97dafa0a04d5fab000dd5d870b6fe.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 1]: /images/20211211/ae8b3186aec14b8eba7a5d29b52796d4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 2]: /images/20211211/79bf641e020844dfa609fe8b74c4d82d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 3]: /images/20211211/872bc2302e294d3897c07e257310b3e8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 4]: /images/20211211/9cb3d01683e34acb9b3e0138d17ff0f5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 5]: /images/20211211/094874ebcfbf4fe481448c3c8c99e59d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 6]: /images/20211211/1c28034ba1d241be90b43ca7036262d9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 7]: /images/20211211/e8c1d77f9ca64735b9ace2026d9f2905.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 8]: /images/20211211/919a5a7af3694be3b87f55353e3738e7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 9]: /images/20211211/952a141cb1ef44e184d30b0536c85c42.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 10]: /images/20211211/a119e162cc764c5cbf0a45bf81433607.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 11]: /images/20211211/81dabdfee5d84c9586da64570d98660e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 12]: /images/20211211/e06cae3cc0b14b0aad6dafb4f16ea039.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 13]: /images/20211211/eea3a47d186c4afb83947303472a6b8f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 14]: /images/20211211/5d49abd0b07b4358bac792c639fc9c29.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 15]: /images/20211211/d00f7cb9f36c483eba802e943c7e2c02.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 16]: /images/20211211/3ae3f5ae26a24c6f8d766bfe4e1465a0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 17]: /images/20211211/c4b561d06fc0443691723fe42ec82977.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 18]: /images/20211211/1ac0e961df964003bc03b461ff91d92e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3RsYWRhZ2lv_size_16_color_FFFFFF_t_70 19]: /images/20211211/9e9762d1f7554028b7a12c7a47a29542.png