Citrix NetScaler

Данное руководство содержит инструкции по настройке Citrix, который позволяет использовать ресурсы серверов и сети и повышать скорость доставки веб-приложений.

Настройка Citrix NetScaler
Настройка сервера syslog
Настройка в R-Vision SIEM

Настройка Citrix NetScaler

Citrix CTX120609 обеспечивает синхронизацию и настройку системных журналов NetScaler с помощью Newsyslog. По умолчанию Citrix ADC хранит несколько системных журналов на локальном устройстве.

Краткое описание типов событий, регистрируемых в каждом из журналов, представлено в документации Citrix.

Рассмотрим настройку на примере журнала аудита User Configurable Log Messages.

Чтобы создать политику для отправки записи системного журнала на внешний сервер syslog:

В интерфейсе NetScaler перейдите в раздел System → Auditing → Syslog.
Перейдите на вкладку Servers и нажмите на кнопку Add.
Укажите данные сервера:
- В поле Name введите имя сервера (например, syslog).
- Выполните один из следующих шагов:
  - В поле Server Type выберите из выпадающего списка Server IP и в поле IP Address укажите IP-адрес сервера.
  - В поле Server Type выберите из выпадающего списка Server Domain Name и в поле Server Domain Name введите полное доменное имя сервера.
- В поле Port введите значение 514.
В блоке Log Levels укажите параметры логирования:
- Выберите нужный уровень логирования.
- Выберите из выпадающего списка Date Format формат даты.
- Установите флажок User Configurable Log Messages.
Нажмите на кнопку Create.
Перейдите на вкладку Policies и нажмите на кнопку Add.
Укажите параметры политики:
- В поле Name введите имя политики (например, syslog).
- В поле Expression Type выберите Advanced Policy.
- Из выпадающего списка Server выберите созданный ранее сервер.
Нажмите на кнопку Create.
На вкладке Policies выберите из выпадающего списка Select Action вариант Advanced Policy Global Bindings.
Нажмите на кнопку Add Binding.
Укажите параметры привязки политики:
- В поле Select Policy укажите название ранее созданной политики.
- В поле Priority введите значение 100 или меньше.
- Из выпадающего списка Global Bind Type выберите SYSTEM_GLOBAL.
Нажмите на кнопку Bind.

Настройка логирования и отправки логов на сервер syslog завершена.

Настройка логирования подробно описана в документации Citrix.

Настройка сервера syslog

Для настройки сервера syslog выполните следующие шаги:

Откройте конфигурационный файл rsyslog (/etc/rsyslog.conf или /etc/rsyslog.d/).

Добавьте следующее правило обработки:

# Укажите IP-адрес Citrix NetScaler
if $fromhost-ip=='192.0.2.0' then {
# Укажите адрес и порт SIEM
  action(type="omfwd" target="siem.sea.land" port="30000" protocol="tcp")
  stop
}

Перезапустите rsyslog, чтобы изменения вступили в силу:
```
sudo systemctl restart rsyslog
```

Настройка в R-Vision SIEM

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне syslog-сервера.
- Протокол: выберите вариант в соответствии с настройками на стороне syslog-сервера.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.dproduct="Citrix NetScaler"
```
Соедините добавленную точку входа и VRL трансформацию.
Добавьте на конвейер элемент Нормализатор с правилом Citrix NetScaler (идентификатор RV-N-28).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

CitrixADCPipelineScheme

Если настройка передачи событий выполнена корректно, в хранилище начнут поступать события Citrix NetScaler.

Найти события Citrix NetScaler в хранилище можно по следующему фильтру:

dproduct = "Citrix NetScaler"

citrix netscaler storage