Monitoring & rapportages

PrivateLAN biedt verschillende pagina's om de gezondheid van uw netwerk te bewaken en terug te kijken wat er in de loop van de tijd op het systeem is gebeurd.

Dashboard

Het dashboard geeft in één oogopslag een overzicht van uw netwerk met vier grafieken:

• Apparaatinterface-informatie — verbonden, niet-verbonden en vrije apparaatpoorten
• Apparaatbeveiligingsinformatie — verdeling van apparaten per beveiligingstype (Onbeveiligd, MAC, MAB, PEAP, EAP-TLS)
• Apparaatverbindingsstatus — apparaten zonder ping, met hoge ping of met normale ping-responstijden
• Switchverbindingsstatus — beschikbaarheid en latency van switches

Boven de grafieken vatten statustegels de gezondheid van de appliance zelf samen. Elke tegel heeft rechtsboven een badge OK, Warning of Error, en elke tegel die niet OK is wordt bovenaan de pagina gegroepeerd onder "Action needed". Naast de tegels voor updates, firewall en virusscanning tonen de resourcetegels:

• CPU-gebruik — de huidige load average als percentage van de beschikbare processorkernen (waarschuwing vanaf 70%, fout vanaf 100%)
• Geheugengebruik — het geheugen dat daadwerkelijk in gebruik is, cache en buffers niet meegerekend (waarschuwing vanaf 80%, fout vanaf 90%)
• Schijfgebruik — één tegel per schijf: de systeemschijf, de dataschijf en de logschijf (waarschuwing vanaf 80%, fout vanaf 90%)

Dit zijn dezelfde metingen die de appliance voor zijn eigen gezondheidsrapportage gebruikt; ze worden live gelezen zodra het dashboard wordt geopend.

Extra tegels gaan over de netwerkaansluitingen van de appliance zelf:

• LAN - eth0 en WAN - eth1, met de vermelding Bandwidth — inkomend (↓) en uitgaand (↑) verkeer op elke netwerkinterface, gemiddeld over de laatste minuut. Deze tegels zijn informatief en hebben altijd een OK-badge: geen enkele hoeveelheid verkeer is op zichzelf een storing. Een interface zonder link meldt dat, in plaats van nul verkeer te tonen, en een interface die de appliance niet heeft krijgt helemaal geen tegel.
• LAN - eth0 en WAN - eth1, met de vermelding Firewall, per minute — hoeveel nieuwe verbindingen de firewall in de laatste minuut op elke interface heeft toegelaten, en hoeveel pakketten hij heeft gedropt: verbindingspogingen die door geen enkele regel worden toegestaan, inclusief de honeypot-poorten op het LAN en verkeer op het WAN dat zich voordoet als een lokaal adres. Een afzender probeert een geweigerde verbinding meestal een paar keer opnieuw, dus één poging kan meer dan één keer meetellen. De firewall weigert verkeer nooit met een antwoord, maar dropt het stil; een apart getal voor geweigerd verkeer is er daarom niet. Ook deze tegels zijn informatief: aan de WAN-kant gaat het scannen vanaf internet nooit voorbij, en een scan van binnen het LAN wordt gemeld door de honeypot-melding. Syslog die door de flood protection wordt weggegooid telt hier niet mee; die heeft een eigen tegel.
• Syslog flood protection — of de firewall op dit moment syslog weggooit van een apparaat dat sneller verstuurt dan de appliance accepteert. "Normal" betekent dat er niets wordt weggegooid; een waarschuwing toont hoeveel pakketten per minuut worden gedropt, zodat u ziet dát er logberichten verloren gaan en hoe erg. De limiet geldt per verzendend apparaat, zodat één zeer spraakzame switch de rest van uw apparatuur niet uit het log kan verdringen.

Anders dan de resourcetegels hierboven worden deze eens per minuut op de achtergrond gemeten in plaats van op het moment dat de pagina wordt geopend; ze kosten dus geen extra laadtijd. Ze verschijnen zodra de eerste meting is gedaan.

De tegel Disk I/O laat zien hoe druk de schijven zijn, waar de schijftegels hierboven laten zien hoe vol ze zijn: hoeveel er per seconde over alle schijven samen wordt gelezen (R) en geschreven (W), gemiddeld over de laatste minuut, en hoe lang een schijfbewerking op de drukste schijf duurde. De badge volgt hoe lang processen op de schijven moesten wachten: een waarschuwing als dat meer dan een kwart van de laatste minuut was, een fout boven de helft. Net als de netwerktegels wordt deze tegel eens per minuut op de achtergrond gemeten.

De tegels voor CPU, geheugen, Disk I/O, bandbreedte en firewall tonen daarnaast op de achtergrond een lijn met het verloop van de waarde; op een firewalltegel is de hoofdlijn de gedropte pakketten. De schakelaar Trend rechtsboven op het dashboard kiest de periode: de laatste 3 uur, 24 uur of 7 dagen; uw browser onthoudt de keuze. Elk punt van de lijn is de hoogste waarde in zijn deel van de periode (per minuut, per 10 minuten of per uur), zodat een korte piek ook over 7 dagen zichtbaar blijft. CPU en geheugen staan op een vaste schaal van 0 tot 100%, zodat een rustige appliance een vlakke lijn onderin toont; de lijnen voor verkeer, firewall en schijven schalen naar het drukste moment in de periode, en als u met de muis over de tegel gaat ziet u die piek. Een gat in de lijn is een periode waarin niet is gemeten, bijvoorbeeld omdat de appliance uit stond. De appliance bewaart deze metingen zeven dagen; op een nieuwe appliance verschijnt de lijn zodra de eerste metingen zijn gedaan.

Een sectie Switch status doet hetzelfde voor de switches, met dezelfde badges:

• Switches unreachable — switches die niet op ping reageren
• Switch login failing — switches die wél op ping reageren, maar waarvan de gegevens niet meer uitgelezen kunnen worden omdat het inloggen op de switch mislukt
• Switch polling — of switchgegevens op de achtergrond nog worden ververst; "Stale" betekent dat ook alle andere switchcijfers op de pagina verouderd zijn
• PoE budget used — het hoogste PoE-verbruik ten opzichte van het eigen budget van een switch, zodat u een vol budget ziet vóórdat het volgende access point of de volgende camera geen voeding meer krijgt
• Switches without a group — switches die nog niet aan een switchgroep zijn toegewezen

Inspectie

De inspectiepagina's zoeken naar situaties die mogelijk aandacht nodig hebben. Inspection opent een overzicht met het aantal bevindingen dat elke controle op dit moment heeft, en elke controle heeft daaronder een eigen pagina: Ports, Network, SSL en Compliance. De inspectietegel op het dashboard linkt naar dit overzicht.

Elke gebruiker met de inspectierol kan deze pagina's bekijken. Voor het afhandelen van een bevinding — een poort uitschakelen, een gebeurtenis bevestigen of dempen, een apparaat dempen of opnieuw controleren, of een switch opnieuw laten uitlezen — is de bewerkrol van de inspectie nodig.

De inspectiepagina's horen bij de licentieoptie Inspection.

Poortinspectie

Inspection > Ports toont de switchpoorten die in gebruik zijn waar niets wordt verwacht, of uit staan waar wel iets wordt verwacht:

• Onverwacht poortgebruik — poorten met een actieve verbinding maar zonder toegewezen apparaat; deze kunnen direct vanaf deze pagina worden uitgeschakeld
• Niet-verbonden poorten — gemarkeerde poorten (trunk, SFP of non-device) die niet verbonden zijn. Een "Type"-kolom toont wat elke poort is (bijvoorbeeld [TRUNK], [SFP] of [ND]). Trunk-uplinks worden gemarkeerd om opnieuw te verbinden; ongebruikte non-device- en SFP-poorten kunnen direct vanaf deze pagina worden uitgeschakeld
• Actieve servicepoorten — servicepoorten die op dit moment open staan voor onderhoud, met de tijd die nog rest voordat ze vanzelf sluiten

Netwerkinspectie

Inspection > Network toont afwijkingen zoals hoge ping-tijden. Een gebeurtenis kan worden bevestigd, of gedempt om haar te verbergen en het dempen weer opgeheven om haar opnieuw te tonen. De drempelwaarde voor "hoge ping" is instelbaar (10-1000 ms).

SSL-inspectie

De meeste apparaten hebben een webinterface of een andere beheerpagina, en het certificaat dat PrivateLAN een apparaat voor 802.1x uitgeeft, kan ook die pagina beveiligen. Inspection > SSL controleert elke vijf minuten of elk apparaat zijn onbeveiligde poort dicht houdt (standaard poort 80) en op zijn beveiligde poort (standaard poort 443) het certificaat aanbiedt dat PrivateLAN het heeft uitgegeven, met het juiste IP-adres en de juiste hostnaam erin. Alleen apparaten die op de laatste ping hebben geantwoord, worden gecontroleerd.

Elke poort wordt als gekleurd label getoond; beweeg de muis erover voor de reden:

• Groen — de beveiligde poort biedt het uitgegeven certificaat aan, of de onbeveiligde poort is dicht
• Oranje — versleuteling werkt, maar er klopt iets niet: een zelfondertekend certificaat of een van een andere uitgever, het certificaat van een ander apparaat of een inmiddels vervangen certificaat, de verkeerde naam of het verkeerde adres, een verlopen certificaat, of TLS ouder dan 1.2. Een onbeveiligde poort die open is maar alleen doorstuurt naar HTTPS op hetzelfde apparaat, is ook oranje
• Rood — de beveiligde poort is dicht of gebruikt geen versleuteling, of de onbeveiligde poort is open
• Grijs — nog niet gecontroleerd, offline bij de laatste ping, of geen adres bekend

Het overzicht heeft dezelfde navigatie, filters en sortering als de apparatenlijst, en kan met de fouten bovenaan worden gesorteerd. De kolom Certificate valid until toont tot wanneer het certificaat van elk apparaat geldig is; houd de muis boven de datum om te zien wanneer het is uitgegeven. Je kunt zoeken op een deel van de datum (bijvoorbeeld 2036 of 2036-08) en erop sorteren.

Poorten. De standaardpoorten stelt u bovenaan de pagina in: één onbeveiligde en één beveiligde poort. Een apparaatgroep kan andere poorten gebruiken, of "none" — bijvoorbeeld voor werkplekken zonder webinterface — en een los apparaat kan van zijn groep afwijken. Alleen TCP wordt gecontroleerd.

De instellingen wijzigen. De regel onder de inleiding van de pagina toont hoe apparaten worden gecontroleerd en wat de standaardpoorten zijn. Gebruikers met de juiste rol klikken erop om deze instellingen in een venster te wijzigen; na het opslaan van een wijziging wordt elk apparaat opnieuw gecontroleerd.

IP of DNS. Standaard worden apparaten op IP-adres gecontroleerd: het certificaat moet het adres en de hostnaam bevatten. Gebruikers met de juiste rol kunnen overschakelen op DNS-controles: de hostnaam wordt dan opgezocht bij de DNS-server van de LAN-interface, de controle maakt verbinding met het adres dat terugkomt, en het certificaat moet de naam bevatten. DNS-controles kunnen alleen worden gekozen als er een DNS-server is ingesteld die antwoordt; de pagina meldt het als dat niet zo is. Een optioneel DNS-achtervoegsel maakt korte hostnamen compleet. Zolang er een DNS-server beschikbaar is, toont een klein DNS-label naast de hostnaam ook of naam en adres overeenkomen met DNS.

Dempen. Een apparaat kan worden gedempt: het verdwijnt uit het overzicht en verstuurt geen syslog-berichten of webhooks, maar wordt wel gecontroleerd, zodat de status klopt zodra u het dempen opheft. Vink Show muted devices aan om gedempte apparaten weer te zien.

Meldingen. Een bevinding gaat één keer naar syslog — niet elke vijf minuten — en zolang ze blijft bestaan elke ochtend om 09:00 nog één keer, zodat een blijvend probleem 's nachts niemand wekt. Het herstel wordt ook één keer gelogd. Er zijn webhooks voor een onbeveiligde poort die open staat, een SSL-probleem en een apparaat dat hersteld is; zie het webhooks-gedeelte van de API-documentatie.

Certificaten. Nieuwe apparaatcertificaten bevatten zowel het IP-adres als de hostnaam — en met een DNS-achtervoegsel ook de volledige naam — zodat een browser ze accepteert als u het apparaat op naam opent. Eerder uitgegeven certificaten houden hun oude inhoud tot ze opnieuw worden uitgegeven; de controle laat zien voor welke dat geldt.

Configuratiecontrole

Inspection > Compliance vergelijkt de configuratie die elke switchpoort hoort te hebben met de configuratie die er werkelijk op staat, en kleurt elke regel als correct, afwijkend, ontbrekend of onverwacht. De gewenste configuratie wordt opgebouwd uit dezelfde sjablonen die de poort programmeren, en de werkelijke configuratie komt uit de reguliere switch-uitlezing, zodat het openen van de pagina geen enkele switch benadert. U kunt alle switches, één switchgroep of één enkele switch vergelijken, en een switch opnieuw laten uitlezen als de gegevens oud lijken. Per switch wordt ook gecontroleerd of de switch zijn logging naar de appliance stuurt — en of dat op IP-adres of op DNS-naam gebeurt — en of er een tijdserver is ingesteld.

De vergelijking volgt de manier waarop switches hun configuratie werkelijk opschrijven: een poort die door het sjabloon eerst wordt uitgezet en daarna weer aan, wordt beoordeeld op de eindstand, instellingen die een switch weglaat zolang ze op hun standaardwaarde staan — bijvoorbeeld een poort in VLAN 1 — tellen als correct, en de commando's die alleen de configuratiemodus openen worden op één regel samengevat in plaats van los opgesomd. Een switch die de appliance niet kan bereiken, of nog nooit heeft uitgelezen, wordt als zodanig gemarkeerd met dezelfde statuskleur als in het switchoverzicht, in plaats van dat al zijn poorten als afwijking worden geteld.

Een afwijkende poort kan ook vanaf deze pagina worden rechtgezet: elke poort krijgt een fix-knop die de poorten van dat apparaat opnieuw programmeert met de configuratie die ze horen te hebben, en een tweede knop doet dat voor alle afwijkende apparaten op de switch, één voor één. Beide vragen eerst om bevestiging — een poort gaat kort uit terwijl de configuratie wordt weggeschreven — en beide zijn alleen beschikbaar voor gebruikers die operationele acties op apparaten mogen uitvoeren.

De configuratiecontrole stond eerder onder Reports; een oude link of bladwijzer opent nog steeds de nieuwe pagina.

Rapportages

Rapportages geven een overzicht van het netwerk om te bekijken, af te drukken of te downloaden — voor documentatie, een overdracht of een audit. Ze horen bij de licentieoptie Reports.

• Switch-interconnects — een interactief diagram van hoe uw switches met elkaar zijn verbonden, gebaseerd op LLDP-gegevens. Switches kunnen worden gekleurd, naar een eigen layout worden verplaatst, en deze layout kan worden opgeslagen. Het diagram kan worden afgedrukt of geëxporteerd.
• Netwerkinterface-overzicht — een downloadbaar PDF-rapport met alle switchinterfaces
• SSL-inspectie — een PDF van de bevindingen van de SSL-inspectie, met de reden van elke bevinding uitgeschreven. Maak het rapport vanaf de pagina Reports, waar u de sortering kiest, of met Generate report op de pagina van de SSL-inspectie, waar het de filters en sortering volgt die u daar hebt gekozen. Hiervoor is ook de optie Inspection nodig

Beide PDF-rapporten dragen het logo en de kleuren van het merk van de appliance, net als de webinterface. Elke pagina toont de naam van het rapport, het project en het paginanummer, en een tabel die doorloopt op de volgende pagina herhaalt de kolomkoppen. Het netwerkinterface-overzicht begint elke switch op een nieuwe pagina en noemt die switch bovenaan elke pagina waarop hij staat.

Audit log

Het audit log registreert elke administratieve actie in PrivateLAN: wie wat heeft gedaan, wanneer, vanaf welk IP-adres en met welk resultaat. Items kunnen worden gefilterd en gesorteerd op datum, gebruiker, actie, status en prioriteit. De bewaartermijn is instelbaar (1-365 dagen, standaard 28 dagen).

Elk item bewaart de naam die de gebruiker had op het moment van de actie. Een gebruiker verwijderen haalt de naam dus niet weg uit diens eerdere items; die worden getoond met "(deleted)" achter de naam, totdat ze buiten de bewaartermijn vallen.

Honeypot-detectie

PrivateLAN vangt verbindingspogingen af naar een klein aantal lokdiensten op zijn lokale netwerkinterface — verouderde protocollen zoals FTP en Telnet die het apparaat zelf nooit daadwerkelijk aanbiedt. Geen enkel legitiem apparaat op uw netwerk heeft reden om die te benaderen, dus elke poging wordt behandeld als een beveiligingsgebeurtenis: deze wordt weggeschreven in het auditlog als een Honeypot-item, doorgestuurd via syslog zoals elke andere beveiligingsgebeurtenis wanneer forwarding is ingeschakeld, en kan een eigen webhook activeren zodat u hierop kunt alarmeren of automatisch kunt reageren. Zie het onderdeel over webhooks in de API-documentatie voor de gebeurtenis honeypot.triggered.

Syslog

PrivateLAN kan syslog-berichten ontvangen van uw netwerkapparatuur, zoals switches en access points, op poort 514. Op de syslogpagina kunt u controleren of de syslog-ontvanger actief is, en ontvangen berichten doorzoeken op tijdstip, bron, berichtinhoud, prioriteit en facility. De bewaartermijn is instelbaar (1-365 dagen).

Syslog is alleen bedoeld voor netwerkapparatuur — logs van veel servers of werkstations kunnen de appliance overbelasten.