FortiGate Syslog 수집 서버와 severity 설정하기

FortiGate의 로그를 원격 Syslog 서버로 전달하는 절차입니다. 원노트의 rsyslogd·filiter 오타를 syslogd·filter로 수정했습니다. GUI에 보이는 항목과 CLI 지원 범위는 FortiOS 버전·모델·VDOM 설정에 따라 달라질 수 있습니다.

현재 설정 조회

변경 전에 기존 로그 서버와 필터를 기록합니다. syslogd2 같은 추가 슬롯을 쓸 때는 장비에서 지원하는지 확인하고 기존 수집을 덮어쓰지 않도록 합니다.

show log syslogd setting
show log syslogd filter

송신 설정

다음은 UDP 514의 수집 서버와 local4 facility를 지정한 예시입니다. 주소는 실제 수집 서버로 바꾸고 관리망 라우팅과 수집 서버의 listener를 확인합니다.

config log syslogd setting
    set status enable
    set server "192.0.2.10"
    set mode udp
    set port 514
    set facility local4
end
config log syslogd filter
    set severity information
end

severity information은 informational 수준과 더 긴급한 로그를 대상으로 합니다. 모든 트래픽 로그가 필요한지, 정책에서 로그 생성이 켜져 있는지도 별도로 확인합니다. filter는 이미 생성된 로그의 전달 범위를 제어하는 설정과 구분해서 봅니다.

수집 결과 확인

로그 수집 서버에서 장비 주소·facility·severity·시각이 맞는지 확인합니다. HA 환경은 각 멤버의 송신 주소와 VDOM별 override 설정도 확인합니다. 설정이 보이는데 로그가 없으면 장비의 실제 이벤트 생성, 라우팅, 방화벽, 수집 서버 파싱 순서로 점검합니다.
UDP는 누락 여부를 보장하지 않고 암호화하지도 않습니다. 중요 로그의 보존 요건이 있으면 지원되는 reliable·TLS 방식과 수집 서버의 프로토콜 설정을 함께 검토합니다. 전송 설정 변경 전후에 수집량과 오류를 비교합니다.
참고: https://community.fortinet.com/fortigate-3/technical-tip-how-to-configure-syslog-on-fortigate-177925