Users Guide

为日志通知启用服务器日志记录
OS10(config)# logging server 10.11.86.139 severity log-notice
通过 TLS 的系统日志记录
要在发送到 syslog 服务器的已记录系统消息中提供增强的安全性和隐私，您可以使用传输层安全 (TLS) 协议。系统通过 TLS 进
行日志记录会对 OS10 交换机与配置的远程日志记录服务器之间的通信进行加密，包括：
● 使用公钥基础设施 (PKI) 证书可以执行客户端和服务器的相互身份验证
● 加密整个身份验证交换，以便用户 ID 和密码都不易发现，并且在传输期间不会修改数据。
配置说明
通过 TLS 进行系统日志记录需要：
● 在证书颁发机构 (CA) 上配置 X.509v3 PKI 证书，并在交换机上安装。交换机和 syslog 服务器均交换签名的 X.509v3 证书中
的公钥，以便彼此进行身份验证。有关详细信息，请参阅 X.509v3 证书。
● 您可以根据安全配置文件中的说明，配置用于系统日志记录的安全配置文件。
配置通过 TLS 的系统日志记录
1. 按照管理 CA 证书中所述，使用安全的方法（如 SCP 或 HTTPS）复制 CA 服务器创建的 X.509v3 证书。然后在 EXEC 模式
下安装受信任的 CA 证书。
crypto ca-cert install ca-cert-filepath [filename]
● ca-cert-filepath 指定下载的证书的本地路径；例如，home://CAcert.pem 或 usb://CA-cert.pem。
● filename 指定将证书存储在 OS10 信任存储目录下的可选文件名。以 filename.crt 格式输入文件名。
2. 如请求和安装主机证书中所述，从 CA 服务器获取 X.509v3 主机证书：
a. 创建私钥并生成交换机的证书签名请求。
b. 将 CSR 文件复制到 CA 服务器以进行签名。
c. 将 CA 签名的证书复制到交换机上的主目录。
d. 安装主机证书：
crypto cert install cert-file home://cert-filepath key-file {key-path | private}
[password passphrase] [fips]
当您安装 X.509v3 证书密钥对时：
● 两者均采用证书的名称。例如，如果您使用以下命令安装证书：
OS10# crypto cert install cert-file home://Dell_host1.pem key-file home://abcd.key
证书密钥对安装为 Dell_host1.pem 和 Dell_host1.key。在配置命令中，请参阅配对 Dell_host1。配置安全配
置文件时，您可以在 certificate certificate-name 命令中输入 Dell_host1。
● 出于安全原因，由于密钥文件包含私钥信息，因此将其复制到 OS10 文件系统中的安全位置，并将其从 key-file
key-path 参数中指定的原始位置删除。
注: fips 将以与 FIPS 兼容的方式安装证书密钥对。输入 fips 以安装由 FIPS 感知应用程序使用的证书密钥对，例如
Syslog over TLS。如果不输入 fips，则证书密钥对将存储为与 FIPS 不兼容的对。
您可以决定证书密钥对是否以与 FIPS 兼容的方式生成。请勿在 FIPS 模式以外使用 FIPS 兼容的证书密钥对。启用 FIPS
模式后，仍可为非 FIPS 证书生成 CSRs，以便与非 FIPS 应用程序配合使用。请确保使用 crypto cert install 命
令将这些证书作为非 FIPS 安装。
3. 使用 X.509v3 证书为通过 TLS 的系统日志记录配置安全配置文件。
a. 在 CONFIGURATION 模式下创建系统日志安全配置文件。请参阅安全配置文件了解更多信息。
crypto security-profile profile-name
b. 在 SECURITY-PROFILE 模式下将 X.509v3 证书和私钥对分配到安全配置文件。对于 certificate-name，输入与不
带 .pem 扩展名的 show crypto certs 输出中显示的证书密钥对的名称。
certificate certificate-name
exit
1290
OS10 故障储理