Unisphere for PowerMax: Sådan konfigureres ekstern syslog

En certifikattillidskæde, også kendt som en certifikatkæde eller tillidskæde, er en række digitale certifikater. Disse certifikater bekræfter ægtheden og pålideligheden af PKI-enheder (Public Key Infrastructure), f.eks. en server eller en enhed. 

I forbindelse med ekstern syslog spiller en certifikattillidskæde en afgørende rolle for at sikre sikker transmission af logmeddelelser mellem en syslog-klient (såsom en netværksenhed) og en syslog-server.

For Unisphere til PowerMax v10.2 og tidligere versioner er kravene:

Rodcertifikatmyndighed (CA): Tillidskæden starter med et rodnøglecenter, der er tillid til, som er en velkendt og pålidelig enhed, der udsteder certifikater til andre nøglecentre. Rodnøglecenterets offentlige nøgle er integreret i klientens tillidslager, så klienten kan stole på certifikater, der er udstedt af rodnøglecenteret.

Mellemliggende certifikatmyndighed (CA): Rodnøglecenteret udsteder et certifikat til et mellemliggende nøglecenter, som er et underordnet nøglecenter, der udsteder certifikater til slutobjekter, f.eks. servere eller enheder. Root CA underskriver Intermediate CA's certifikat og etablerer en tillidskæde.

Servercertifikat: Det mellemliggende nøglecenter udsteder et certifikat til syslog-serveren, som indeholder serverens offentlige nøgle og identitetsoplysninger (f.eks. værtsnavn, IP-adresse). Det mellemliggende nøglecenter signerer servercertifikatet og knytter det til tillidskæden.

For Unisphere til PowerMax v10.3 og derover er kravene:
Der kræves et nyt selvsigneret rodcertifikat i kundens miljø, og det skal have et af følgende:

• En gyldig AIA-parameter (Authority Information Access) med aktive og tilgængelige webadresser til listen over tilbagekaldte certifikater (CRL, Certificate Revocation List)
  ELLER
• OCSP-svarpersoner (Online Certificate Status Protocol)

Når en syslog-klient (som i dette tilfælde Unisphere for PowerMax) starter en syslog-serverforbindelse, modtager den det eksterne syslog-servercertifikat. 

Klienten verificerer certifikatet ved at kontrollere følgende:

1. Certifikatet udstedes af et betroet mellemliggende nøglecenter.
2. Det mellemliggende nøglecenters certifikat udstedes af et rodnøglecenter, der er tillid til.
3. Certifikatet er ikke udløbet eller tilbagekaldt.
4. Certifikatets emne (f.eks. værtsnavn, IP-adresse) svarer til syslog-serverens forventede identitet.

Oprettelse af tillid:
Hvis klienten bekræfter serverens certifikat, etablerer den et tillidsforhold til serveren. 
Klienten kan derefter bruge serverens offentlige nøgle til at kryptere logmeddelelserne, hvilket sikrer deres fortrolighed og integritet under transmissionen.
Certifikattillidskæden sikrer, at syslog-klienten kan have tillid til syslog-serverens identitet og oprette en sikker forbindelse til overførsel af logmeddelelser. 
Dette er vigtigt i eksterne syslog-scenarier, hvor logmeddelelser kan overføres via netværk, der ikke er tillid til, f.eks. internettet.

Denne RFC fokuserer på transport af syslog-meddelelser via TCP (Transmission Control Protocol).

Det definerer følgende:

• Brugen af TCP som transportprotokol til syslog-meddelelser
• syslog TLS-protokollen, som giver kryptering og godkendelse af syslog-meddelelser
• DTLS-protokollen (syslog Datagram Transport Layer Security), som giver kryptering og godkendelse af syslog-meddelelser via UDP (User Datagram Protocol).
• RFC 5425 giver en sikker og pålidelig måde at transportere syslog-meddelelser via TCP, hvilket er afgørende for eksterne syslog-konfigurationer.

Denne RFC opdaterer syslog-protokollen for at løse begrænsningerne i RFC 3164. 

De vigtigste forskelle er:

• Forbedret tidsstempelformat med millisekundopløsning
• Introduktion af et struktureret dataelement, som giver mulighed for mere fleksibel og udvidelig logføring
• Understøttelse af IPv6- og TLS-kryptering (Transport Layer Security)
• Forbedrede sikkerhedsfunktioner, f.eks. godkendelse og godkendelse
• RFC 5424 er bagudkompatibel med RFC 3164, hvilket giver mulighed for en problemfri overgang til den nye protokol.

Denne RFC beskriver den oprindelige syslog-protokol. 

Den definerer syslog-meddelelsesformatet, som indeholder følgende komponenter:

• Prioritet (en kombination af facilitet og alvorsgrad)
• Tidsstempel
• Værtsnavn
• Meddelelse

RFC 3164 bruges stadig i vid udstrækning i dag, men det har nogle begrænsninger, såsom manglende godkendelse og kryptering.