Как узнать, когда в последний раз использовалась политика брандмауэра JUNOS SRX

Можно ли как-то выяснить, когда в последний раз использовалась политика в брандмауэрах JUNOS SRX?

Мне нужно удалить устаревшие политики с устройства. Один из способов — сравнить количество обращений к двум снимкам, сделанным с промежутком в x дней. Но я чувствую, что это очень грубый способ делать вещи.


juniper junos-automation
person Prabir    schedule 05.10.2018    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Я проверял CLI, но мы можем получить максимальное количество обращений (что не является показателем последнего использования политики)

Возможно, вы могли бы иметь вспомогательные файлы журналов, включая только RTFLOW SESSION CREATE LOGS.

Затем периодически может запускаться onbox-скрипт и обновлять файл с содержимым «policy-name last-observed-timestamp».

Эти журналы также будут включены в «сообщения», но, если брандмауэр довольно занят и генерирует много системных журналов, мы можем потерять некоторую информацию, если junos сожмет файл сообщений из-за достижения максимального размера (если мы не запустим скрипт очень часто… но как насчет воздействия на устройство?)

Потенциально это может сработать, но у меня есть некоторые опасения:

  • Влияние на устройство с точки зрения производительности
  • Если SRX много «работает», этот вспомогательный файл журнала будет быстро заполняться, а выполнение скрипта будет длиннее.
  • Это будет работать только «с этого момента» (поскольку мы реализуем сценарий), я не могу видеть прошлое, я думаю
  • Требуется ведение журнала в соответствии с политикой (по крайней мере, сеанс-инициализация или сеанс-закрытие, чем создание файла журнала с правильными сообщениями системного журнала). В качестве альтернативы сценарий отключен, и мы периодически получаем вспомогательный файл журнала с внешнего сервера; таким образом мы берем на себя бремя анализа файла журнала с устройства, поскольку вся «грязная работа» будет выполняться нашим внешним сервером (этот подход требует, чтобы наше устройство было доступно с помощью модуля SCP python, который доступен в PyEz упаковка)
person IoSonoUmberto    schedule 05.10.2018