Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Exporte los registros de transacciones directamente desde NetScaler a Splunk

August 6, 2024
Contribución de: 
C

Ahora puede exportar los registros de transacciones de NetScaler a plataformas de agregación de registros estándar del sector, como Splunk. El registro de transacciones es el registro de los eventos del flujo de tráfico de las aplicaciones en NetScaler, como las solicitudes y respuestas HTTP y el inicio y el final de la conexión. Para obtener más información sobre los registros de transacciones, consulte AppFlow.

Puede exportar los registros de transacciones en formato JSON para obtener información diferente, como Web Insight, seguridad, gateway y HDX Insights. Para exportar los registros de transacciones a Splunk, debe configurar Splunk como un servidor HTTP y usar el recopilador de eventos HTTP para enviar los registros de transacciones a través de HTTP (o HTTPS) directamente a la plataforma Splunk desde su NetScaler. Con las herramientas de visualización de Splunk, puede obtener información significativa sobre los datos exportados.

Nota:

Las direcciones IP que se exportan como parte de los registros de transacciones aparecen en formato decimal en lugar del formato estándar. Por ejemplo, si su dirección IP de NetScaler es 10.102.154.153, la misma en los registros de transacciones de Splunk aparece como 174496409. Puede usar las expresiones incorporadas disponibles en Splunk para convertir la dirección IP del formato decimal al formato estándar.

Exporte los registros de transacciones de NetScaler a Splunk configurado como servidor HTTP

Para configurar la exportación de los registros de transacciones, debe realizar los siguientes pasos:

  1. Configure un recopilador de eventos HTTP en Splunk.
  2. Cree un servicio de recopilación y un perfil de análisis en NetScaler.

Configurar un recopilador de eventos HTTP en Splunk

Puede reenviar los registros de transacciones a Splunk configurando un recopilador de eventos HTTP. La configuración del recopilador de eventos HTTP implica crear un token de autenticación, asociar un índice de eventos al token al que se envían los eventos y establecer el número de puerto HTTP. Para obtener información sobre cómo configurar el recopilador de eventos HTTP, consulte la documentación de Splunk.

Una vez que haya configurado el recopilador de eventos HTTP, copie el token de autenticación y guárdelo como referencia. Debe especificar este token al configurar el perfil de análisis en NetScaler.

Configurar el perfil de análisis en NetScaler

Haga lo siguiente para exportar los registros de transacciones de NetScaler a Splunk.

  1. Crea un servicio de recopilación para Splunk.

    add service <collector> <splunk-server-ip-address> <protocol> <port>

    Ejemplo:

    add service splunk_service 10.102.34.155 HTTP 8088

    En esta configuración:

    • dirección IP: dirección IP del servidor de Splunk.
    • collector-name: nombre del recopilador.
    • protocolo: especifique el protocolo como HTTP o SSL.
    • puerto: número de puerto.

  2. Cree un perfil de análisis.

    add analytics profile `profile-name` -type <insight> -collectors `collector-name` -analyticsAuthToken `<auth-scheme> <authorization-parameters>` -analyticsEndpointContentType `application/json` -analyticsEndpointUrl `endpoint-url`

    Ejemplo:

    add analytics profile transaction-log-profile -type webinsight -collectors splunk_collector -analyticsAuthToken "Splunk 1234-5678-12345" -analyticsEndpointContentType "application/json" -analyticsEndpointUrl "/services/collector/event"

    Nota:

    La opción -allHttpHeaders es compatible con la exportación del registro de transacciones de Splunk en NetScaler 14.1-25.x y versiones posteriores.

    add analytics profile <profile-name> -type webinsight -allHttpHeaders

    set analytics profile <profile-name> -type webinsight -allHttpHeaders

    En esta configuración:

    • información: tipos de información que puede exportar Están disponibles las siguientes opciones:
      • robot a la vista
      • CI Insight
      • Puerta de entrada a la vista
      • hdx insight
      • lsninsight
      • información sobre seguridad
      • TCP Insight
      • visión UDP
      • visión de vídeo
      • visión web

    • -Parámetros de autorización del esquema de autenticación de AnalyticsAuthToke: especifique el token de autenticación que se incluirá en el encabezado de autorización con el esquema de autenticación «Splunk» al enviar los registros a Splunk. Este token es el token de autenticación creado en el servidor Splunk al configurar el recopilador de eventos HTTP.

    • AnalyticSendpointContentType: el encabezado Content-Type. El valor codificado es application/json.

    • analyticSendpointURL: la ruta a HEC en Splunk (/services/collector/event o /services/collector).

      NOTA:

      Puede modificar los parámetros del perfil de análisis mediante el comando set analytics profile.

    • dataFormatFile: el archivo que contiene los detalles de los datos del registro de transacciones que se deben exportar y en qué formato. Cada dispositivo de punto final espera que la carga útil de JSON se codifique en un formato específico. Si no se especifica el formato, se selecciona splunk_format.txt de forma predeterminada.

  3. Verifique la configuración del perfil de análisis mediante el comando show analytics profile.

    > sh analytics profile 
    
ns_analytics_default_http_profile
1)      Name: ns_analytics_default_http_profile
        Collector: splunk
        Profile-type: webinsight
                Page Tracking: DISABLED
                Client Side Measurements: DISABLED
                URL Logging: ENABLED
                Host Header Logging: ENABLED
                Method Logging: ENABLED
                Cookie Header Logging: DISABLED
                Referer Header Logging: DISABLED
                User Agent Logging: DISABLED
                Content Type Logging: DISABLED
                Authorization Header Logging: DISABLED
                Via Header Logging: DISABLED
                Location Header Logging: DISABLED
                URL Category Logging: DISABLED
                Log All HTTP Headers: DISABLED
                X-Forwarded-For Header Logging: DISABLED
                Set-Cookie Header Logging: DISABLED
                Set-Cookie2 Header Logging: DISABLED
                Domain Name Logging: DISABLED
                URL-Query Logging: DISABLED
                Integrated Cache Logging: DISABLED
                gRPC Status Logging: DISABLED
                API Spec Info Export Logging: DISABLED
        Authentication Token:
        Endpoint URL: /services/collector/event
        Endpoint Content-type: text/json
        Reference Count: 1
        Managementlog: NONE

  4. Enlace el perfil de análisis al servidor virtual.

    bind lb vserver <vserver-name> -analyticsProfile transaction-log-profile

    Ejemplo:

    bind lb vserver sample-virtualserver -analyticsProfile transaction-log-profile

Una vez que la configuración se haya realizado correctamente, en función del tráfico, las transacciones se registrarán y exportarán a HEC en Splunk.

Filtrado de registros de datos basado en campos

De forma predeterminada, NetScaler exporta cientos de campos del registro de transacciones, incluso cuando los dispositivos de punto final no requieren todos los datos exportados. Además, cada dispositivo de punto final espera que la carga útil de JSON se codifique en un formato específico, como el inicio y el final de un registro de datos, el delimitador entre los registros de datos y el inicio y el final del búfer.

Splunk espera que la carga útil JSON que proviene de NetScaler se codifique en el siguiente formato:

  • Inicio y fin del búfer: no se requiere ningún valor para BUFFER-START y BUFFER-END.

  • Inicio y fin del registro de datos: el registro de datos debe empezar por {"event":{ y terminar por }}. Todos los campos que se exportan deben estar entre DATA-START y DATA-END.

    Los registros de datos deben comenzar con lo siguiente:

     RECORD-START
 {"event":{
 DATA_START

    Los registros de datos deben terminar con lo siguiente:

     DATA-END
 }}
 RECORD-END
  • Delimitador entre registros de datos: no se requiere ningún delimitador.

De forma predeterminada, splunk_format.txt está disponible en la carpeta var/analytics_conf que contiene el formato de carga JSON que Splunk espera y también contiene algunos campos predeterminados para los que se exportan los datos. Puede configurar splunk_format.txt como el valor del parámetro -dataFormatFile en el comando add analytics profile.

El siguiente es un ejemplo de archivo de formato de datos para Splunk:

    BUFFER-START
    RECORD-START
    {"event":{
    DATA-START
    153 observationPointId
    547 nsPartitionId
    154 exportingProcessId
    159 transactionId
    801 httpReqUrl
    685 httpReqMethod
    683 httpReqHost
    472 svrDstIpv4Address
    579 srvSrcPort
    580 srvDstPort
    13 backendSvrIpv6Address
    473 cltIpv4Address
    474 cltDstIpv4Address
    577 cltSrcPort
    578 cltDstPort
    14 transCltIpv6Address
    15 transCltDstIpv6Address
    DATA-END
    }}
    RECORD-END
    RECORD-DELIMITER

    RECORD-DELIMITER-END
    BUFFER-END

El archivo JSON_fields.txt en var/analytics_conf es un archivo maestro de referencia que contiene la lista completa de campos junto con sus números de identificación. Los campos del archivo maestro se clasifican en función de la información. Por ejemplo, si desea conocer los campos asociados a HDX insight, puede consultar la categoría HDX Insights del archivo JSON_fields.txt.

Puede personalizar el archivo splunk_format.txt según sus necesidades. Por ejemplo, si desea exportar HDX Insights, puede buscar en la categoría HDX Insights del archivo JSON_fields.txt y añadir los campos obligatorios en el archivo splunk_format.txt. Del mismo modo, puede eliminar cualquier campo que no desee exportar.

Tras personalizar el archivo splunk_format.txt, ejecute el siguiente comando para actualizar el perfil de análisis:

update analytics profile <profile-name> -dataFormatFile <data-format-file-name>

Ejemplo:

update analytics profile ns _analytics_ default_http_profile -dataFormatFile splunk_format.txt

También puede especificar el valor del archivo de formato de datos mediante la GUI. Vaya a System > AppFlow > Analytics Profiles y haga clic en Add. En la página Crear perfil de Analytics, si selecciona una de las siguientes opciones de Tipo, aparece el campo Archivo de formato de datos, donde puede especificar el nombre del archivo:

  • GLOBAL
  • WEB INSIGHT
  • TCP INSIGHT
  • SECURITY INSIGHT
  • VIDEO INSIGHT
  • HDX INSIGHT
  • GATEWAY INSIGHT
  • LSN INSIGHT
  • BOT INSIGHT
  • SERIES TEMPORALES

Salidas de muestra

Esta sección contiene ejemplos de resultados para diferentes registros de transacciones.

Ejemplo de salida del registro de transacciones HTTP

El siguiente es un ejemplo de salida para el registro de transacciones HTTP.

{
    appName: VS1
    clientMss: 1460
    clntFastRetxCount: 0
    clntTcpJitter: 0
    cintTcpPacketsRetransmited: 0
    clntTcpRtoCount: 0
    clntTcpZeroWindowCount: 0
    cltDstIpv4Address: 174496411
    cltIpv4Address: 174496407
    connEndTimestamp: 0
    connStartTimestamp: 7329468222993076980
    exportingProcessId: 0
    httpReqHost: 10.102.154.155
    httpReqMethod: GET
    httpReqUrl: /big.html
    httpRspLen: 114380
    httpRspStatus: 200
    mainPageCoreId: 0
    mainPageId: 0
    nsPartitionId: 0
    observationPointId: 174496409
    originRspLen: 0
    srvrIcpPacketsRetransmited: 0
    srvrTcpZeroWindowCount: 0
    svrDstIpv4Address: 174496415
    svrIpv4Address: 174496408
    tepSrvrConnRstCode: 0
    transClntRTT: 0
    transCltDstPort: 20480
    transCltFlowEndUsecRx: 7329468222993084980
    transCltFlowEndUsecTx: 7329468222993084980
    transCltFlowStartUsecRx: 7329468222993076980
    transCltFlowStartUsecTx: 7329468222993077984
    transCltSrcPort: 60315
    transCltTotRx0ctCnt: 1766
    transCltTotTx0ctCnt: 117580
    transSrvDstPort: 36895
    transSrvSrcPort: 15213
    transSrvrRTT: 0
    transSvrFlowEndUsecRx: 7329468222993084980
    transSvrFlowEndUsecTx: 7329468222993084980
    transSvrFlowStartUsecRx: 7329468222993077984
    transSvrFlowStartUsecTx: 0
    transSvrTotRx0ctCnt: 117580
    transSvrTotTx0ctCnt: 1766
    transactionId: 4890
}

Ejemplo de salida del registro de transacciones TCP

El siguiente es un ejemplo de salida para el registro de transacciones TCP.

{
    appName: vs1
    clientConnEndTimestamp: 7333165210582386064
    clientConnStartTimestamp: 7333165210582386054
    clientMss: 1460
    clntFastRetxCount: 0
    clntTcpJitter: 0
    clntTcpPacketsRetransmited: 0
    clntTcpRtoCount: 0
    clntTcpZeroWindowCount: 0
    cltDstIpv4Address: 174496411
    cltDstPort: 20480
    cltIpv4Address: 174496407
    cltSrcPort: 42939
    connectionChainHopCount: 0
    exportingProcessId: 0
    nsPartitionId: 0
    observationPointId: 174496409
    serverConnEndTimestamp: 7333165201992708470
    serverConnStartTimestamp: 7333165201992708459
    srvDstPort: 36895
    srvSrcPort: 51973
    srvrTcpPacketsRetransmited: 0
    srvrTcpZeroWindowCount: 0
    svrDstIpv4Address: 174496415
    svrIpv4Address: 174496408
    tcpClntConnRstCode: 0
    tcpSrvrConnRstCode: 0
    transClntRTT: 0
    transCltTotRxOctCnt: 208
    transCltTotTxOctCnt: 331
    transSrvrRTT: 0
    transSvrTotRxOctCnt: 331
    transSvrTotTxOctCnt: 208
    transactionId: 330
    vlanNumber: 1
}

Ejemplo de salida del registro de transacciones SSL

El siguiente es un ejemplo de salida para el registro de transacciones SSL.

{
    appName: sslvs
    clientConnEndTimestamp: 0
    clientConnStartTimestamp: 7333182669624439854
    clientMss: 1460
    clntFastRetxCount: 0
    clntTcpJitter: 0
    clntTcpPacketsRetransmited: 0
    clntTcpRtoCount: 0
    clntTcpZeroWindowCount: 0
    cltDstIpv4Address: 174496411
    cltDstPort: 47873
    cltIpv4Address: 174496407
    cltSrcPort: 17499
    connectionChainHopCount: 0
    exportingProcessId: 0
    httpContentType: text/html
    httpReqHost: 10.102.154.155
    httpReqMethod: GET
    httpReqUrl: /index.html
    httpReqUserAgent: curl/7.69.1
    httpRspLen: 291
    httpRspStatus: 200
    nsPartitionId: 0
    observationPointId: 174496409
    originRspLen: 0
    serverConnEndTimestamp: 0
    serverConnStartTimestamp: 7333182665330184556
    srvDstPort: 36895
    srvSrcPort: 34802
    srvrTcpPacketsRetransmited: 0
    srvrTcpZeroWindowCount: 0
    sslCipherValueBE: 0
    sslCipherValueFE: 50331701
    sslClientCertSizeBE: 0
    sslClientCertSizeFE: 0
    sslClntCertSigHashBE: 0
    sslClntCertSigHashFE: 0
    sslFLagsBE: 0
    sslFLagsFE: 1096
    sslServerCertSizeBE: 0
    sslServerCertSizeFE: 4096
    sslSessionIDBE: 0
    sslSessionIDFE: 2433458443
    sslSigHashAlgBE: 0
    sslSigHashAlgFE: 0
    sslSrvrCertSigHashBE: 0
    sslSrvrCertSigHashFE: 668
    svrDstIpv4Address: 174496415
    svrIpv4Address: 174496408
    tcpClntConnRstCode: 0
    tcpSrvrConnRstCode: 0
    transClntRTT: 0
    transCltFlowEndUsecRx: 7333182669624447854
    transCltFlowEndUsecTx: 7333182669624446854
    transCltFlowStartUsecRx: 7333182669624439854
    transCltFlowStartUsecTx: 7333182669624439854
    transCltTotRxOctCnt: 1501
    transCltTotTxOctCnt: 2223
    transSrvrRTT: 0
    transSvrFlowEndUsecRx: 7333182669624446854
    transSvrFlowEndUsecTx: 7333182669624446854
    transSvrFlowStartUsecRx: 7333182669624446854
    transSvrFlowStartUsecTx: 0
    transSvrTotRxOctCnt: 331
    transSvrTotTxOctCnt: 168
    transactionId: 2640
    vlanNumber: 1
}

Ejemplo de resultado del registro de transacciones de Web Insight

El siguiente es un ejemplo de salida para el registro de transacciones de Web Insight.

{
    appName: vs1
    clientConnEndTimestamp: 0
    clientConnStartTimestamp: 7333336201820249485
    clientMss: 1460
    clntFastRetxCount: 0
    clntTcpJitter: 0
    clntTcpPacketsRetransmited: 0
    clntTcpRtoCount: 0
    clntTcpZeroWindowCount: 0
    cltDstIpv4Address: 174496411
    cltDstPort: 20480
    cltIpv4Address: 174758625
    cltSrcPort: 46824
    connectionChainHopCount: 0
    exportingProcessId: 0
    httpContentType: text/html
    httpReqHost: 10.102.154.155
    httpReqMethod: GET
    httpReqUrl: /
    httpRspLen: 291
    httpRspStatus: 200
    nsPartitionId: 0
    observationPointId: 174496409
    originRspLen: 0
    serverConnEndTimestamp: 0
    serverConnStartTimestamp: 7333336201820250487
    srvDstPort: 36895
    srvSrcPort: 6465
    srvrTcpPacketsRetransmited: 0
    srvrTcpZeroWindowCount: 0
    svrDstIpv4Address: 174496415
    svrIpv4Address: 174496408
    tcpClntConnRstCode: 0
    tcpSrvrConnRstCode: 0
    transClntRTT: 0
    transCltFlowEndUsecRx: 7333336201820251488
    transCltFlowEndUsecTx: 7333336201820251488
    transCltFlowStartUsecRx: 7333336201820249485
    transCltFlowStartUsecTx: 7333336201820250487
    transCltTotRxOctCnt: 190
    transCltTotTxOctCnt: 371
    transSrvrRTT: 0
    transSvrFlowEndUsecRx: 7333336201820251488
    transSvrFlowEndUsecTx: 7333336201820250487
    transSvrFlowStartUsecRx: 7333336201820250487
    transSvrFlowStartUsecTx: 7333336201820250487
    transSvrTotRxOctCnt: 371
    transSvrTotTxOctCnt: 202
    transactionId: 11218
    vlanNumber: 1
}

Ejemplos de paneles para registros de transacciones

Los siguientes paneles disponibles en Splunk proporcionan los datos relacionados con los registros de transacciones:

  • Panel de control HTTP Insight de NetScaler
  • Panel de control SSL Insight de NetScaler
  • Panel de control TCP Insight de NetScaler

Para obtener más información, consulte Ejemplos de paneles en Splunk.

Exporte los registros de transacciones directamente desde NetScaler a Splunk
August 6, 2024
Contribución de: 
C
August 6, 2024
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.