Déporter les logs du PFSense sur un NAS Synology

Le firewall open source PFSense peut être hébergé sur des appliances light, comme les excellents Alix d'OSNet qui permettent de déployer des solutions super légères et riches en fonctionnalités (VPN, portail captif, proxy, logs, ...) ou celles de la boutique PFSsense.

Pour logger les informations, accès, etc... la capacité de stockage de ces appliances peut être insuffisante, c'est pour quoi il peut être intéressant de ne stocker que peu d'infos sur le firewall et déporter les logs sur un NAS Synology.



Pour cela il faut installer depuis le Centre de paquets de Synology l'application Centre des journaux.



Dans l'application  Centre des journaux dans l'onglet Réception des journaux il faut autoriser la réception au format BSD





Dans l'interface du PFSense, dans la page Status > System Logs > Settings section Remote Logging Options, il faut activer Enable Remote Logging et définir la destination avec l'ip du Synology (dans Remote log servers).

Il est possible de définir les éléments de logs transmis par les checkbox de Remote Syslog Contents, ici l'ensemble sera transmis.
Les logs arriveront dès validation dans le Centre de Journaux du Synology, Un filtre en haut de liste permettra de distinguer les logs internes au Synology (Local) et ceux reçus de l'extérieurs (Des autres serveurs)

Attention, si vous souhaitez récupérer les logs du Squid Proxy Server, ils ne seront pas transmis automatiquement par cette manip car ils ne sont pas prévus dans les services listés sur l'interface.
Il faudra pour ça se rendre dans les paramètre du proxy : Services > Squid Proxy Server et accéder aux options avancées 


et saisir dans Custom ACLS (Before Auth) :

access_log syslog:local:8

Cela générera automatique dans le fichier de conf du proxy /usr/local/etc/squid/squid.conf la ligne suivante

# Custom options before auth
access_log syslog:local8.info squid

(si vous faites cette modif en SSH dans le fichier de conf, celui ci sera écrasé à la prochaine modif / reboot / ...)

Et il faut redémarrer le service, avec le reload en haut de page

Le service local8 n'étant pas listé dans les options du Remote Syslog Contents, il faudra cocher l'option Everything pour ces logs soient transmis au serveur distant.
Cela générera automatique en fin de fichier de conf du syslog /etc/syslog.conf la ligne suivante

*.* @192.168.18.2

(Idem, ne faites pas la modif directement dans le fichier sous peine d'écraser cette modif par la suite)

Vous obtiendrez les logs dans le Synology sous le nom de programme (squid-1) dans mon exemple.