Meraki MXでOutbound方向のアクセス可否のログを取得

概要
ログ出力のサンプル
- Flowログとアクセス可否のログの混在
- Flowログの出力を無効化時
関連設定
Flowログの出力を無効化するためのサポートへの依頼

概要

Meraki MXでOutbound方向のアクセス可否のログを取得したい場合は、 Syslog servers の Roles で Flows を指定をしたうえで、Outbound rules または Site-to-site outbound firewall の Syslog オプションにチェックを入れる必要があります。
しかし、Flows を指定すると ip_flow_start と ip_flow_end のFlowログが(アクセス可否のログとは別に)出力されるため、ログの肥大化を避ける場合はサポートへ依頼しての無効化が必要になります。

f:id:myhomenwlab:20220318232327j:plain — Syslog servers で Flows を指定時

該当する公式ドキュメントは Syslog Server Overview and Configuration の Flows のセクションになります。

documentation.meraki.com

Flowログの無効化に関しては公式ドキュメントに明確な記載がないようであったため、2022年03月頃にサポートへ問い合わせたうえで実機で挙動の確認をしました。

また、Inbound rules にも Syslog オプションがありますが、Inbound rules はサポートへ有効化の依頼が必要な機能であるため本記事内では取り扱いません。

ログ出力のサンプル

ip_flow_start と ip_flow_end がどのように出力されるのか比較するためのサンプルを掲載します。

f:id:myhomenwlab:20220318232847j:plain — ip_flow_start と ip_flow_end とアクセス可否のログ

Flowログとアクセス可否のログの混在

Mar 16 08:16:21 10.255.11.254  1647352121.770117590 MX67W flows src=10.255.11.1 dst=8.8.8.8 mac=**:**:**:**:**:** protocol=tcp sport=58613 dport=443 pattern: allow tcp && (dst 8.8.8.8/32)
Mar 16 08:16:21 10.255.11.254  1647352121.770165190 MX67W ip_flow_start src=10.255.11.1 dst=8.8.8.8 protocol=tcp sport=58613 dport=443 translated_src_ip=10.255.201.2 translated_port=58613
Mar 16 08:17:14 10.255.11.254  1647352174.852326694 MX67W ip_flow_end src=10.255.11.1 dst=8.8.8.8 protocol=tcp sport=58574 dport=443 translated_src_ip=10.255.201.2 translated_port=58574
Mar 16 08:17:37 10.255.11.254  1647352198.071691414 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=58621 dport=443 pattern: deny tcp && (dst 1.1.1.1/32)
Mar 16 08:17:38 10.255.11.254  1647352199.080955614 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=58621 dport=443 pattern: deny tcp && (dst 1.1.1.1/32)
Mar 16 08:17:40 10.255.11.254  1647352201.090315974 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=58621 dport=443 pattern: deny tcp && (dst 1.1.1.1/32)
Mar 16 08:17:44 10.255.11.254  1647352205.096665414 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=58621 dport=443 pattern: deny tcp && (dst 1.1.1.1/32)
Mar 16 08:17:52 10.255.11.254  1647352213.099215734 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=58621 dport=443 pattern: deny tcp && (dst 1.1.1.1/32)
Mar 16 08:19:13 10.255.11.254  1647352293.575189734 MX67W ip_flow_end src=10.255.11.1 dst=8.8.8.8 protocol=tcp sport=58601 dport=443 translated_src_ip=10.255.201.2 translated_port=58601

Flowログの出力を無効化時

Mar 18 19:14:06 10.255.11.254  1647564404.147778219 MX67W flows src=10.255.11.1 dst=8.8.8.8 mac=**:**:**:**:**:** protocol=tcp sport=51260 dport=443 pattern: allow (dst 8.8.8.8/32)
Mar 18 19:14:46 10.255.11.254  1647564443.635272872 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=51266 dport=443 pattern: deny (dst 1.1.1.1/32)
Mar 18 19:14:47 10.255.11.254  1647564444.648729352 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=51266 dport=443 pattern: deny (dst 1.1.1.1/32)
Mar 18 19:14:49 10.255.11.254  1647564446.650971792 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=51266 dport=443 pattern: deny (dst 1.1.1.1/32)
Mar 18 19:14:53 10.255.11.254  1647564450.651563792 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=51266 dport=443 pattern: deny (dst 1.1.1.1/32)
Mar 18 19:15:01 10.255.11.254  1647564458.657929952 MX67W flows src=10.255.11.1 dst=1.1.1.1 mac=**:**:**:**:**:** protocol=tcp sport=51266 dport=443 pattern: deny (dst 1.1.1.1/32)