วิธีตั้งค่า Firewall ให้ส่ง Syslog ถูกวิธี — Fortinet, Palo Alto, Cisco
วิธีตั้งค่า Syslog บน Firewall ให้ส่ง Log ถึง Log Server ครบ ทั้ง FortiGate, Palo Alto, Cisco ASA และ Sophos พร้อม 5 ข้อผิดพลาดที่ทำให้ Log หายหรือผิด Format
วิธีตั้งค่า Firewall ให้ส่ง Syslog ถูกวิธี — คู่มือเชื่อมต่อ Log Management
การเก็บ Log จาก Firewall เป็นหัวใจสำคัญของระบบ Log Management — แต่หลายองค์กรตั้งค่าไม่ถูก ทำให้ Log หาย ไม่ครบ หรือส่งผิด Format บทความนี้จะสอนวิธีตั้งค่า Syslog สำหรับ Firewall ยอดนิยมในไทย
Syslog คืออะไร?
Syslog คือ Protocol มาตรฐานสำหรับการส่ง Log จากอุปกรณ์เครือข่ายไปยัง Log Server — รองรับทั้ง UDP (Port 514) และ TCP (Port 514/6514) โดยมี 2 เวอร์ชัน:
| เวอร์ชัน | RFC | คุณสมบัติ |
|---|
| Syslog Legacy | RFC 3164 | format เก่า มี priority + message |
| Syslog Modern | RFC 5424 | format ใหม่ มี structured data, timestamp แม่นยำ |
💡 แนะนำ: ใช้ RFC 5424 + TCP + TLS เพื่อความปลอดภัยและความน่าเชื่อถือสูงสุด
วิธีตั้งค่า Syslog บน Firewall ยอดนิยม
1. Fortinet FortiGate
config log syslogd setting
set status enable
set server "10.0.0.100"
set port 514
set mode reliable
set facility local7
set source-ip "10.0.0.1"
end
สิ่งที่ต้องตั้ง:
server = IP ของ Log Server (เช่น zcrLog)mode reliable = ใช้ TCP ตาม RFC 6587 แทน UDP (พารามิเตอร์นี้เปลี่ยนชื่อจาก reliable enable ตั้งแต่ FortiOS 6.0)facility = local7 (แยก Log จาก source อื่น)
2. Palo Alto Networks
ผ่าน Web UI:
- ไปที่ Device → Server Profiles → Syslog
- เพิ่ม Server Profile ใหม่
- ใส่ IP ของ Log Server, Port 6514 (ค่ามาตรฐานสำหรับ SSL), Transport = SSL
- ไปที่ Objects → Log Forwarding Profile
- เลือก Log Type: Traffic, Threat, URL, WildFire
- เลือก Syslog Profile ที่สร้างไว้
- Apply กับทุก Security Rule
3. Cisco ASA
logging enable
logging host inside 10.0.0.100
logging trap informational
logging device-id hostname
logging timestamp
4. Sophos XG
ผ่าน Web UI:
- ไปที่ System Services → Log Settings
- เพิ่ม Syslog Server: IP, Port, Protocol = TCP
- เลือก Log Type: Firewall, IPS, Web, Authentication
5 ข้อผิดพลาดที่พบบ่อย
| # | ปัญหา | วิธีแก้ |
|---|
| 1 | ใช้ UDP — Log หายเมื่อ network congestion | เปลี่ยนเป็น TCP หรือ TCP+TLS |
| 2 | ไม่ได้ตั้ง Timestamp | เปิด NTP Sync บน Firewall |
| 3 | ส่งแค่ Traffic Log | เพิ่ม Threat, Auth, System Log |
| 4 | Firewall ไม่ได้เปิด Source IP | ตั้ง source-ip ใน syslog config |
| 5 | Log Server disk เต็ม | ตั้ง retention policy + alert เมื่อ 80% |
⭐ zcrLog รับ Syslog จาก Firewall ได้ทุกยี่ห้อที่ export syslog ได้
zcrLog ไม่ได้จำกัดเฉพาะยี่ห้อ — Firewall ตัวไหนก็ตามที่ export syslog ได้ตามมาตรฐาน ส่งเข้า zcrLog ได้ทันที ระบบ auto-detect รูปแบบ log ได้แล้วสำหรับ:
- ✅ Fortinet FortiGate
- ✅ Palo Alto Networks
- ✅ Cisco ASA / Firepower
- ✅ Sophos XG / XGS
ยี่ห้ออื่น (Juniper SRX, Check Point, pfSense/OPNsense ฯลฯ) ส่ง syslog เข้ามาได้เช่นกัน เพียงแต่ยังไม่มี format auto-detect เฉพาะยี่ห้อ — log จะถูกเก็บเป็น syslog ทั่วไป
🎯 ดูรายละเอียด zcrLog →
📞 ปรึกษาฟรี
บทความที่เกี่ยวข้อง
อ่านต่อเพื่อเปรียบเทียบแนวทางและลงรายละเอียดที่เกี่ยวข้อง:
ผลิตภัณฑ์ที่เกี่ยวข้อง
อ่านรายละเอียด zcrLog เพื่อดูขอบเขตการใช้งาน ดูราคาที่เผยแพร่ได้ที่หน้าราคา และสิ่งที่ต้องเตรียมก่อนคุยกับพาร์ทเนอร์
แหล่งข้อมูลอ้างอิง
- RFC 5424 — The Syslog Protocol — ยืนยันความแตกต่างระหว่าง Syslog Legacy (RFC 3164) กับ Syslog Modern (RFC 5424) รวมถึง TLS transport ที่ใช้ TCP พอร์ต 6514
- Fortinet — config log syslogd setting (FortiOS CLI Reference) — ยืนยัน syntax ปัจจุบันสำหรับตั้งค่า reliable TCP syslog บน FortiOS 6.0 ขึ้นไป
- Palo Alto Networks — Device > Server Profiles > Syslog — ยืนยันพอร์ตมาตรฐานตาม transport แต่ละแบบ (UDP 514, SSL 6514)