Monitoring & rapportages

Nederlands | English

PrivateLAN biedt verschillende pagina's om de gezondheid van uw netwerk te bewaken en terug te kijken wat er in de loop van de tijd op het systeem is gebeurd.

Dashboard

Het dashboard geeft in één oogopslag een overzicht van uw netwerk met vier grafieken:

Apparaatinterface-informatie — verbonden, niet-verbonden en vrije apparaatpoorten
Apparaatbeveiligingsinformatie — verdeling van apparaten per beveiligingstype (Onbeveiligd, MAC, MAB, PEAP, EAP-TLS)
Apparaatverbindingsstatus — apparaten zonder ping, met hoge ping of met normale ping-responstijden
Switchverbindingsstatus — beschikbaarheid en latency van switches

Action needed — alleen wat nu aandacht vraagt
System status — de appliance zelf: updates, schijven, processor, geheugen, netwerk
Trend — de periode van de trendlijnen: 3 uur, 24 uur of 7 dagen

Boven de grafieken vatten statustegels de gezondheid van de appliance zelf samen. Elke tegel heeft rechtsboven een badge OK, Warning of Error, en elke tegel die niet OK is wordt bovenaan de pagina gegroepeerd onder "Action needed". Naast de tegels voor updates, firewall en virusscanning tonen de resourcetegels:

CPU-gebruik — de huidige load average als percentage van de beschikbare processorkernen (waarschuwing vanaf 70%, fout vanaf 100%)
Geheugengebruik — het geheugen dat daadwerkelijk in gebruik is, cache en buffers niet meegerekend (waarschuwing vanaf 80%, fout vanaf 90%)
Schijfgebruik — één tegel per schijf: de systeemschijf, de dataschijf en de logschijf (waarschuwing vanaf 80%, fout vanaf 90%)

Dit zijn dezelfde metingen die de appliance voor zijn eigen gezondheidsrapportage gebruikt; ze worden live gelezen zodra het dashboard wordt geopend.

Extra tegels gaan over de netwerkaansluitingen van de appliance zelf:

LAN - eth0 en WAN - eth1, met de vermelding Bandwidth — inkomend (↓) en uitgaand (↑) verkeer op elke netwerkinterface, gemiddeld over de laatste minuut. Deze tegels zijn informatief en hebben altijd een OK-badge: geen enkele hoeveelheid verkeer is op zichzelf een storing. Een interface zonder link meldt dat, in plaats van nul verkeer te tonen, en een interface die de appliance niet heeft krijgt helemaal geen tegel.
LAN - eth0 en WAN - eth1, met de vermelding Firewall, per minute — hoeveel nieuwe verbindingen de firewall in de laatste minuut op elke interface heeft toegelaten, en hoeveel pakketten hij heeft gedropt: verbindingspogingen die door geen enkele regel worden toegestaan, inclusief de honeypot-poorten op het LAN en verkeer op het WAN dat zich voordoet als een lokaal adres. Een afzender probeert een geweigerde verbinding meestal een paar keer opnieuw, dus één poging kan meer dan één keer meetellen. De firewall weigert verkeer nooit met een antwoord, maar dropt het stil; een apart getal voor geweigerd verkeer is er daarom niet. Ook deze tegels zijn informatief: aan de WAN-kant gaat het scannen vanaf internet nooit voorbij, en een scan van binnen het LAN wordt gemeld door de honeypot-melding. Syslog die door de flood protection wordt weggegooid telt hier niet mee; die heeft een eigen tegel.
Syslog flood protection — of de firewall op dit moment syslog weggooit van een apparaat dat sneller verstuurt dan de appliance accepteert. "Normal" betekent dat er niets wordt weggegooid; een waarschuwing toont hoeveel pakketten per minuut worden gedropt, zodat u ziet dát er logberichten verloren gaan en hoe erg. De limiet geldt per verzendend apparaat, zodat één zeer spraakzame switch de rest van uw apparatuur niet uit het log kan verdringen.

Anders dan de resourcetegels hierboven worden deze eens per minuut op de achtergrond gemeten in plaats van op het moment dat de pagina wordt geopend; ze kosten dus geen extra laadtijd. Ze verschijnen zodra de eerste meting is gedaan.

De tegel Disk I/O laat zien hoe druk de schijven zijn, waar de schijftegels hierboven laten zien hoe vol ze zijn: hoeveel er per seconde over alle schijven samen wordt gelezen (R) en geschreven (W), gemiddeld over de laatste minuut, en hoe lang een schijfbewerking op de drukste schijf duurde. De badge volgt hoe lang processen op de schijven moesten wachten: een waarschuwing als dat meer dan een kwart van de laatste minuut was, een fout boven de helft. Net als de netwerktegels wordt deze tegel eens per minuut op de achtergrond gemeten.

De tegels voor CPU, geheugen, Disk I/O, bandbreedte en firewall tonen daarnaast op de achtergrond een lijn met het verloop van de waarde; op een firewalltegel is de hoofdlijn de gedropte pakketten. De schakelaar Trend rechtsboven op het dashboard kiest de periode: de laatste 3 uur, 24 uur of 7 dagen; uw browser onthoudt de keuze. Elk punt van de lijn is de hoogste waarde in zijn deel van de periode (per minuut, per 10 minuten of per uur), zodat een korte piek ook over 7 dagen zichtbaar blijft. CPU en geheugen staan op een vaste schaal van 0 tot 100%, zodat een rustige appliance een vlakke lijn onderin toont; de lijnen voor verkeer, firewall en schijven schalen naar het drukste moment in de periode, en als u met de muis over de tegel gaat ziet u die piek. Een gat in de lijn is een periode waarin niet is gemeten, bijvoorbeeld omdat de appliance uit stond. De appliance bewaart deze metingen zeven dagen; op een nieuwe appliance verschijnt de lijn zodra de eerste metingen zijn gedaan.

Een sectie Switch status doet hetzelfde voor de switches, met dezelfde badges:

Switches unreachable — switches die niet op ping reageren
Switch login failing — switches die wél op ping reageren, maar waarvan de gegevens niet meer uitgelezen kunnen worden omdat het inloggen op de switch mislukt
Switch polling — of switchgegevens op de achtergrond nog worden ververst; "Stale" betekent dat ook alle andere switchcijfers op de pagina verouderd zijn
PoE budget used — het hoogste PoE-verbruik ten opzichte van het eigen budget van een switch, zodat u een vol budget ziet vóórdat het volgende access point of de volgende camera geen voeding meer krijgt
Switches without a group — switches die nog niet aan een switchgroep zijn toegewezen

Statusbalk

De balk bovenaan elke pagina toont de toestand van de appliance zonder veel ruimte in te nemen:

Klok en datum — altijd zichtbaar, in de eigen tijd van de appliance.
Pictogrammen — achtergrondtaken, processorbelasting (een balk per processorkern), het aantal actieve gebruikers, de softwareversie en de licentie. Klik op een pictogram voor de details. De achtergrondtaken tonen routinetaken alleen als er een mislukt is.
Wat aandacht vraagt blijft in woorden — Reboot required en Update available brengen u direct naar System > Update, en het licentiepictogram toont hoeveel dagen er nog zijn zodra dat er minder dan dertig zijn.
Softwareversie — klik erop voor What's new, de release notes van de serie die u draait.

De achtergrondtaken, de processorbelasting en de actieve gebruikers zien alleen gebruikers met de rol system-status (beheerders hebben die automatisch); zie Gebruikers & accountbeveiliging. Iedereen anders ziet de klok, de softwareversie en de licentie-, herstart- en updatemeldingen. Na tien minuten zonder activiteit stopt de balk met verversen en hervat hij zodra u de muis beweegt of een toets indrukt.

Notificaties

De bel in de statusbalk bevat korte aantekeningen die gebruikers voor elkaar achterlaten, bijvoorbeeld "switch-netgear is voor onderhoud weggehaald, komt volgende week terug". Er is geen ontvanger: elke gebruiker met de rol notifications ziet alle notificaties. Een getal op de bel telt de notificaties van andere gebruikers die u nog niet hebt gezien; zodra u de bel opent, gelden ze als gelezen.

Add notification (rol notifications-add) vraagt om de tekst, hooguit 500 tekens, en de datum tot wanneer de notificatie zichtbaar is: negentig dagen vooruit, tenzij u een andere datum kiest, en hooguit een jaar. Na die datum verdwijnt de notificatie vanzelf.
Remove haalt een notificatie voor alle gebruikers weg. Uw eigen notificaties kunt u altijd verwijderen; voor die van een ander is de rol notifications-remove-others nodig. Beheerders kunnen beide.
Een gebruiker kan hooguit twintig notificaties tegelijk hebben.
Zet geen wachtwoorden of sleutels in een notificatie: iedereen met de rol kan hem lezen.

Het plaatsen en verwijderen van een notificatie komt in de audit log. De rollen staan beschreven onder Gebruikers & accountbeveiliging.

Inspectie

De inspectiepagina's zoeken naar situaties die mogelijk aandacht nodig hebben. Inspection opent een overzicht met het aantal bevindingen dat elke controle op dit moment heeft, en elke controle heeft daaronder een eigen pagina: Ports, Network, SSL en Compliance. De inspectietegel op het dashboard linkt naar dit overzicht.

Elke gebruiker met de inspectierol kan deze pagina's bekijken. Voor het afhandelen van een bevinding — een poort uitschakelen, een gebeurtenis bevestigen of dempen, een apparaat dempen of opnieuw controleren, of een switch opnieuw laten uitlezen — is de bewerkrol van de inspectie nodig.

De inspectiepagina's horen bij de licentieoptie Reports & Inspection.

Poortinspectie

Inspection > Ports toont de switchpoorten die in gebruik zijn waar niets wordt verwacht, of uit staan waar wel iets wordt verwacht:

Onverwacht poortgebruik — poorten met een actieve verbinding maar zonder toegewezen apparaat. Hoort het MAC-adres op de poort bij geen bekend apparaat, dan kan het apparaat direct op die poort worden toegevoegd, met de MAC-adressen al ingevuld, net als op de pagina Deployment (ook met de keuzes onder Ctrl en Ctrl+Shift op Add). De kolom VLAN toont het VLAN waarin de poort zat bij de laatste uitlezing van de switch. Hoort dat VLAN bij precies één apparaatgroep, dan selecteert het formulier voor het nieuwe apparaat die apparaatgroep en dat VLAN al voor u; hoort het bij meerdere, dan noemt het formulier ze. Poorten die niet nodig zijn, kunnen direct vanaf deze pagina worden uitgeschakeld
Niet-verbonden poorten — gemarkeerde poorten (trunk, SFP of non-device) die niet verbonden zijn, ook als de switch ze zelf heeft uitgeschakeld (err-disabled) na een storing of een beveiligingsovertreding. Een "Type"-kolom toont wat elke poort is (bijvoorbeeld [TRUNK], [SFP] of [ND]). Trunk-uplinks worden gemarkeerd om opnieuw te verbinden; ongebruikte non-device- en SFP-poorten kunnen direct vanaf deze pagina worden uitgeschakeld
Actieve servicepoorten — servicepoorten die op dit moment open staan voor onderhoud, met de tijd die nog rest voordat ze vanzelf sluiten

Unexpected port usage — poorten in gebruik zonder toegewezen apparaat
Disconnected ports — gemarkeerde poorten die down zijn

Netwerkinspectie

Inspection > Network toont afwijkingen zoals hoge ping-tijden. Een gebeurtenis kan worden bevestigd, of gedempt om haar te verbergen en het dempen weer opgeheven om haar opnieuw te tonen. De drempelwaarde voor "hoge ping" is instelbaar (10-1000 ms).

SSL-inspectie

De meeste apparaten hebben een webinterface of een andere beheerpagina, en het certificaat dat PrivateLAN een apparaat voor 802.1x uitgeeft, kan ook die pagina beveiligen. Inspection > SSL controleert elke vijf minuten of elk apparaat zijn onbeveiligde poort dicht houdt (standaard poort 80) en op zijn beveiligde poort (standaard poort 443) het certificaat aanbiedt dat PrivateLAN het heeft uitgegeven, met de juiste hostnaam erin — en, bij een apparaat met een statisch adres, het juiste IP-adres. Alleen apparaten die op de laatste ping hebben geantwoord, worden gecontroleerd.

Legend — wat elke kleur van een poortlabel betekent
Status — het aantal apparaten per toestand
Check all devices now — voert de controle direct uit

Elke poort wordt als gekleurd label getoond; beweeg de muis erover voor de reden:

Groen — de beveiligde poort biedt het uitgegeven certificaat aan, of de onbeveiligde poort is dicht
Oranje — versleuteling werkt, maar er klopt iets niet: een zelfondertekend certificaat of een van een andere uitgever, het certificaat van een ander apparaat of een inmiddels vervangen certificaat, de verkeerde naam of het verkeerde adres, een verlopen certificaat, of een TLS-versie onder het minimum die nog wordt geaccepteerd. Een onbeveiligde poort die open is maar alleen doorstuurt naar HTTPS op hetzelfde apparaat, is ook oranje
Rood — de beveiligde poort is dicht of gebruikt geen versleuteling, of de onbeveiligde poort is open
Grijs — nog niet gecontroleerd, offline bij de laatste ping, of geen adres bekend

Het overzicht heeft dezelfde navigatie, filters en sortering als de apparatenlijst, en kan met de fouten bovenaan worden gesorteerd. De kolom Certificate valid until toont tot wanneer het certificaat van elk apparaat geldig is; houd de muis boven de datum om te zien wanneer het is uitgegeven. U kunt zoeken op een deel van de datum (bijvoorbeeld 2036 of 2036-08) en erop sorteren.

Minimale TLS-versie. Projectbestekken eisen vaak minimaal TLS 1.2, met TLS 1.0 en 1.1 geblokkeerd. Een apparaat dat meerdere versies ondersteunt, gebruikt de nieuwste die het met de browser gemeen heeft, dus of het ook nog een oudere accepteert, blijkt pas als die versie los wordt aangeboden. De kolom Minimum TLS toont de oudste versie die de beveiligde poort accepteert: 1.2+ betekent TLS 1.2 en nieuwer, 1.2 alleen TLS 1.2, 1.3 alleen TLS 1.3. Beweeg de muis erover om elke geaccepteerde of geweigerde versie te zien. Elke controle test één oudere versie, dus de kolom toont de eerste controles Testing en is binnen vijftien minuten compleet; Check this device now test alle versies in één keer. TLS 1.3 heeft geen eigen test nodig, omdat elke controle al laat zien of een apparaat het ondersteunt. U kunt op de kolom filteren — bijvoorbeeld op alle apparaten onder het minimum — en erop sorteren, met de oudste versie bovenaan. SSL 3.0 wordt niet getest, omdat de appliance het zelf niet meer ondersteunt.

Het minimum stelt u in met Minimum TLS version in de instellingen: standaard TLS 1.2, of TLS 1.3. Een beveiligde poort die ook een oudere versie accepteert, is oranje, ook als hij een nieuwere voorkeur geeft, en zijn waarde in de kolom is dan ook oranje.

Poorten. De standaardpoorten stelt u bovenaan de pagina in: één onbeveiligde en één beveiligde poort. Een apparaatgroep kan andere poorten gebruiken, of "none" — bijvoorbeeld voor werkplekken zonder webinterface — en een los apparaat kan van zijn groep afwijken. Alleen TCP wordt gecontroleerd. De poortvelden op de bewerkpagina van een apparaat of apparaatgroep zijn alleen zichtbaar voor gebruikers met de rol inspection-edit, omdat "none" apparaten uit de controle haalt.

De instellingen wijzigen. De regel onder de inleiding van de pagina toont hoe apparaten worden gecontroleerd, wat de standaardpoorten zijn en wat de minimale TLS-versie is. Gebruikers met de rol inspection-ssl-config klikken erop om deze instellingen in een venster te wijzigen; na het opslaan van een wijziging wordt elk apparaat opnieuw gecontroleerd. Een nieuwe minimale TLS-versie behoudt de versies die al gevonden zijn, en geldt dus binnen een minuut.

IP of DNS. Standaard worden apparaten op IP-adres gecontroleerd: het certificaat moet de hostnaam bevatten en, bij een apparaat met een statisch adres, ook het adres. Een apparaat dat zijn adres via DHCP krijgt, krijgt een certificaat zonder adres, omdat dat adres met de lease verandert. Gebruikers met de rol inspection-ssl-config kunnen overschakelen op DNS-controles: de hostnaam wordt dan opgezocht bij de DNS-server van de LAN-interface, de controle maakt verbinding met het adres dat terugkomt, en het certificaat moet de naam bevatten. DNS-controles kunnen alleen worden gekozen als er een DNS-server is ingesteld die antwoordt; de pagina meldt het als dat niet zo is. Een optioneel DNS-achtervoegsel maakt korte hostnamen compleet. Zolang er een DNS-server beschikbaar is, toont een klein DNS-label naast de hostnaam ook of naam en adres overeenkomen met DNS.

Dempen. Een apparaat kan worden gedempt: het verdwijnt uit het overzicht en verstuurt geen syslog-berichten of webhooks, maar wordt wel gecontroleerd, zodat de status klopt zodra u het dempen opheft. Vink Show muted devices aan om gedempte apparaten weer te zien.

Meldingen. Een bevinding gaat één keer naar syslog — niet elke vijf minuten — en zolang ze blijft bestaan elke ochtend om 09:00 nog één keer, zodat een blijvend probleem 's nachts niemand wekt. Het herstel wordt ook één keer gelogd. Er zijn webhooks voor een onbeveiligde poort die open staat, een SSL-probleem en een apparaat dat hersteld is; zie het webhooks-gedeelte van de API-documentatie.

Certificaten. Nieuwe apparaatcertificaten bevatten de hostnaam en, bij een apparaat met een statisch adres, het IP-adres — en met een DNS-achtervoegsel ook de volledige naam — zodat een browser ze accepteert als u het apparaat op naam opent. Eerder uitgegeven certificaten houden hun oude inhoud tot ze opnieuw worden uitgegeven; de controle laat zien voor welke dat geldt.

Configuratiecontrole

Inspection > Compliance vergelijkt de configuratie die elke switchpoort hoort te hebben met de configuratie die er werkelijk op staat, en kleurt elke regel als correct, afwijkend, ontbrekend of onverwacht. De gewenste configuratie wordt opgebouwd uit dezelfde sjablonen die de poort programmeren, en de werkelijke configuratie komt uit de reguliere switch-uitlezing, zodat het openen van de pagina geen enkele switch benadert. U kunt alle switches, één switchgroep of één enkele switch vergelijken, en een switch opnieuw laten uitlezen als de gegevens oud lijken. Per switch wordt ook gecontroleerd of de switch de appliance als RADIUS-server gebruikt en zijn logging naar de appliance stuurt — en of dat op IP-adres of op DNS-naam gebeurt — en of er een tijdserver is ingesteld. Elk van de DNS-namen die System > Networking u naar de appliance laat wijzen telt mee: app.privatelan.nl, radius.privatelan.nl en pki.privatelan.nl. De namen worden vergeleken zoals ze er staan; het rapport zoekt ze niet op in DNS.

De vergelijking volgt de manier waarop switches hun configuratie werkelijk opschrijven: een poort die door het sjabloon eerst wordt uitgezet en daarna weer aan, wordt beoordeeld op de eindstand, instellingen die een switch weglaat zolang ze op hun standaardwaarde staan — bijvoorbeeld een poort in VLAN 1 — tellen als correct, en de commando's die alleen de configuratiemodus openen worden op één regel samengevat in plaats van los opgesomd. Een switch die de appliance niet kan bereiken, of nog nooit heeft uitgelezen, wordt als zodanig gemarkeerd met dezelfde statuskleur als in het switchoverzicht, in plaats van dat al zijn poorten als afwijking worden geteld.

Een afwijkende poort kan ook vanaf deze pagina worden rechtgezet: elke poort krijgt een fix-knop die de poorten van dat apparaat opnieuw programmeert met de configuratie die ze horen te hebben, en een tweede knop doet dat voor alle afwijkende apparaten op de switch, één voor één. Beide vragen eerst om bevestiging — een poort gaat kort uit terwijl de configuratie wordt weggeschreven — en beide zijn alleen beschikbaar voor gebruikers die operationele acties op apparaten mogen uitvoeren.

De configuratiecontrole stond eerder onder Reports; een oude link of bladwijzer opent nog steeds de nieuwe pagina.

Rapportages

Rapportages geven een overzicht van het netwerk om te bekijken, af te drukken of te downloaden — voor documentatie, een overdracht of een audit. Ze horen bij de licentieoptie Reports & Inspection, dezelfde optie als de inspectiepagina's.

Switch-interconnects — een interactief diagram van hoe uw switches met elkaar zijn verbonden, gebaseerd op LLDP-gegevens. Switches kunnen worden gekleurd, naar een eigen layout worden verplaatst, en deze layout kan worden opgeslagen. Het diagram kan worden afgedrukt of geëxporteerd.
Netwerkinterface-overzicht — een downloadbaar PDF-rapport met alle switchinterfaces
SSL-inspectie — een PDF van de bevindingen van de SSL-inspectie, met de reden van elke bevinding en de TLS-versies van elk apparaat uitgeschreven. Maak het rapport vanaf de pagina Reports, waar u de sortering kiest, of met Generate report op de pagina van de SSL-inspectie, waar het de filters en sortering volgt die u daar hebt gekozen. Hiervoor is ook de inspectierol nodig

Beide PDF-rapporten dragen het logo en de kleuren van het merk van de appliance, net als de webinterface. Elke pagina toont de naam van het rapport, het project en het paginanummer, en een tabel die doorloopt op de volgende pagina herhaalt de kolomkoppen. Het netwerkinterface-overzicht begint elke switch op een nieuwe pagina en noemt die switch bovenaan elke pagina waarop hij staat.

Onder de gegevens van elke switch staat een tekening van de voorkant. Die tekening is gemaakt uit wat de switch zelf bij de laatste controle heeft gemeld. Elke poort staat op zijn plek met zijn nummer, in de kleuren van het interface-overzicht:

groen voor een verbonden poort, met een gele linkerrand als er PoE op staat
een rode rand voor een poort zonder verbinding
grijs voor een uitgeschakelde poort
wit als de status onbekend is
blauw voor een service port

De eerste bladzijde van het rapport legt deze kleuren uit in de legenda, naast de statusiconen. De beheer- en consolepoort zijn weggelaten. Een stack krijgt één voorkant per unit, in de volgorde waarin de units bekabeld zijn. Als de switch zijn stackbekabeling meldt, staan de kabels naast de voorkanten, en een kabel zonder verbinding wordt onder de tekening genoemd. Bij een model waarvan de poortindeling nog niet is gecontroleerd, staat dat onder de tekening. Het rapport gebruikt dan de meest voorkomende indeling: oneven poorten boven, even poorten eronder en de glasvezelpoorten rechts.

Audit log

Het audit log registreert elke administratieve actie in PrivateLAN: wie wat heeft gedaan, wanneer, vanaf welk IP-adres en met welk resultaat. Items kunnen worden gefilterd en gesorteerd op datum, gebruiker, actie, status en prioriteit. De bewaartermijn is instelbaar (1-365 dagen, standaard 28 dagen).

Filter — op datum, gebruiker, adres, actie, pagina, omschrijving, status en prioriteit

Elk item bewaart de naam die de gebruiker had op het moment van de actie. Een gebruiker verwijderen haalt de naam dus niet weg uit diens eerdere items; die worden getoond met "(deleted)" achter de naam, totdat ze buiten de bewaartermijn vallen.

Honeypot-detectie

PrivateLAN vangt verbindingspogingen af naar een klein aantal lokdiensten op zijn lokale netwerkinterface — verouderde protocollen zoals FTP en Telnet die het apparaat zelf nooit daadwerkelijk aanbiedt. Geen enkel legitiem apparaat op uw netwerk heeft reden om die te benaderen, dus elke poging wordt behandeld als een beveiligingsgebeurtenis: deze wordt weggeschreven in het auditlog als een Honeypot-item, doorgestuurd via syslog zoals elke andere beveiligingsgebeurtenis wanneer forwarding is ingeschakeld, en kan een eigen webhook activeren zodat u hierop kunt alarmeren of automatisch kunt reageren. Zie het onderdeel over webhooks in de API-documentatie voor de gebeurtenis honeypot.triggered.

Syslog

PrivateLAN kan syslog-berichten ontvangen van uw netwerkapparatuur, zoals switches en access points, op poort 514. Op de syslogpagina kunt u controleren of de syslog-ontvanger actief is, en ontvangen berichten doorzoeken op tijdstip, bron, berichtinhoud, prioriteit en facility. De bewaartermijn is instelbaar (1-365 dagen).