Waarom zijn er netwerkfouten wanneer de ESA communiceert met de syslogserver?

Inleiding

Dit document beschrijft waarom de e-mail security applicatie (ESA) geen gegevens kan verzenden naar een syslogserver.

Waarom zijn er netwerkfouten wanneer de ESA communiceert met de syslogserver?

De ESA is geconfigureerd om logabonnementen op een syslog server te zetten. De bestanden kunnen al dan niet met succes naar de syslog server worden gedrukt. In ieder geval kunnen er netwerkfouten voorkomen in het maillogbestand dat hier op lijkt:

Log Error: Subscription Mail_Log: Network error while sending log data
 to syslog server

Een pakketopname tussen de ESA en de syslogserver toont verbindingsdalingen die worden geïnitieerd door de syslogserver, die in dit voorbeeld 10.4.167.30 is.

Als u de TCP-stream in de pakketopname volgt, ziet u dit:

<22>Jun 25 08:50:03 example.com: Info: Begin Logfile
<22>Jun 25 08:50:03 example.com: Info: Version: 8.0.1-023 SN: A4BADB4712A9-511AA1E
<22>Jun 25 08:50:03 example.com: Info: Time offset from UTC: 7200 seconds
<22>Jun 25 08:50:03 example.com: Info: A System/Critical alert was sent to
 alerts@ironport.com with subject "Critical <System> mail.example.com: Log Error:
 Subscription Mail_Log: Network error while sending l...".

De fouten geven aan dat er een firewall of inbraakpreventiesysteem (IPS) is dat de toegang tot de syslogserver op het IP-adres blokkeert. Als alle tussenliggende apparaten zijn onderzocht en bevestigd om het verkeer toe te laten, dan kan dit ook betekenen dat de syslog server te druk is en de verbindingen weigert. Wanneer de ESA is geconfigureerd om een logbestand naar een syslog server te sturen, zal het standaard de UDP syslog poort 514 gebruiken tenzij geconfigureerd om TCP te gebruiken. Zodra het apparaat is geconfigureerd is het enige dat ervoor zorgt dat de verbinding wordt vermeld als geweigerd als er pakketten worden ontvangen die de verbinding sluiten wanneer deze wordt geopend.