Horário Syslog

Olá galera!
Blz com vocês?


Meu problema é o seguinte:


Eu o Analista de Security colocamos no ar um Systlog Server.
E para testar o envio de logs dos sws eu configurei apenas 1 sw para tal função.

Até ai tudo bem.

O problema é no horário que é informado pelo sw nas logs.
Sempre tem duas horas a mais doque a do server.

O sw esta com fuso horário correto e dia e hora corretos tbm.
No comando sh clock ele volta o horário correto, porém nas logs vem 2 horas a mais.

Oque pode estar errado?



Configs sw:

clock timezone BRT -3
12:06:01.195 BRT Mon Sep 5 2011


Exemplo de log:

Sep 5 11:56:31 10.1.0.84 9809: Sep 5 14:55:35.892: %LINK-3-UPDOWN: Interface FastEthernet0/24, changed state to down


Desde já, obrigado.

Aparentemente o problema está na config do equipamento mesmo. Acredito que falta config de timestamp.

Se você der um show clock e show log, ele aparece o mesmo horário?


Por padrão, Cisco usa UTC/GMT time. Mesmo que você altere o clock do equipamento, se você não especificar que o log e debug devem ser mostrados com o horário local, ele mostrará em UTC.


Abaixo, alguns passos...

Para equipamento Cisco, você, primeiramente, configura o horário em UTC ou GMT. Depois, você configura o timezone do mesmo, "reduzindo" ou "aumentando" o horário, como offset.

exemplo:

digamos que agora seja 05:10 da manhã UTC (02:10 Brasil time - BRT) e que você não esteja usando NTP server, você precisa configurar o horário do equipamento manualmente:

Setando o relógio manualmente (enable mode):

clock set 05:10:00 Sep 6 2011

Agora, em config mode:

clock timezone BRT -3


*** Caso já existia o comando "clock timezone" configurado no momento que você está configurando o clock, coloque o horário do local. No caso, o horário do Brasil.

O equipamento faz a conversão automaticamente!!!



Agora, seu equipamento está com o clock configurado corretamente, porém ainda mostrará log com horário de UTC, pois você ainda não especificou para que mensagens de log e debug apareçam com o horário local.


Exemplo (sem especificar):

R1#sh clock
02:21:04.151 BRT Tue Sep 6 2011
R1#conf t
Enter configuration commands, one per line. End with CNTL/Z.
R1(config)#
R1#
Sep 6 05:21:08: %SYS-5-CONFIG_I: Configured from console by console


*** Note a diferença de 3 horas (-3 do BRT)


Por padrão, como disse, o log usa UTC e não o local time (a não ser que você especifique para usar local time).
Se quiser que ele use local time, use o seguinte comando (note a palavra localtime no final):

service timestamps log datetime localtime

Exemplo (especificando local time):

R1#conf t
Enter configuration commands, one per line. End with CNTL/Z.
R1(config)#service timestamps log datetime localtime
R1(config)#
R1#
Sep 6 02:23:47: %SYS-5-CONFIG_I: Configured from console by console
R1#sh clock
02:23:50.227 BRT Tue Sep 6 2011

Note que o horário é o mesmo.

Faça o mesmo para debug:


service timestamps debug datetime localtime



O Syslog server nada mais é do que um servidor que guarda strings de todos os equipamentos que estão configurados para enviar mensagens de log para ele (puramente texto).
Se o equipamento envia a mensagem de log , ela enviará exatamente como ela é mostrada no equipamento.

Normalmente, o output do syslog server é o seguinte:
HORARIO_DO_SYSLOG NOME_DO_EQUIPAMENTO: MENSAGEM_DE_LOG

Note o seu output. Aposto que o horário que mostra errado é o 14:55, que é o que vem do equipamento exatamente como é exibido no comando sh log.

Sep 5 11:56:31 10.1.0.84 9809: Sep 5 14:55:35.892: %LINK-3-UPDOWN: Interface FastEthernet0/24, changed state to down



Depois nos diga se era isso mesmo!

Abraços,

Ai cara.

Era isso mesmo.
JOguei o comando: service timestamps log datetime localtime.

E funfo legal.

Vlw mesmo.