VyOS 監視・ログ・LLDP 設定 – 運用確認の入口を作る

VyOS をルーターとして運用する場合、設定そのものだけでなく、状態をどう確認するかを先に決めておく必要があります。通信が止まった時に、インターフェイス、経路、Firewall、NAT、VPN、DNS、NTP のどこを見るかが決まっていないと、切り分けが遅れます。

監視・ログ・LLDP は、あとで足す便利機能というより、運用確認の入口です。syslog を外部へ送り、LLDP で隣接を確認し、時刻同期を安定させ、初動で見るコマンドを固定しておくと、障害時の調査がぶれにくくなります。

この記事では、VyOS 1.5 系で読むことを前提に、syslog、LLDP、NTP、状態確認コマンドを運用確認の入口としてまとめます。ホスト名やアドレスは公開用の例です。

この記事の結論

• syslog は外部ログ基盤へ送る
• LLDP は内部側の隣接確認に使う
• 時刻同期はログ調査の前提として確認する
• 初動で見るコマンドを決めておく
• Firewall、NAT、VPN、DNS と関連づけて状態を見る

監視は運用の前提である

ルーターは普段は目立ちません。しかし、通信が止まった時には、ルーター自身の状態、経路、Firewall、NAT、VPN、DNS、NTP のどこに問題があるのかを切り分ける必要があります。

syslog を外部へ送る

VyOS 自身にもログは残りますが、再起動、保存期間、ディスク容量の制約で後から追えないことがあります。運用環境では、syslog を外部のログ基盤へ送る構成にしておく方が扱いやすくなります。

configure
set system syslog local facility all level 'info'
set system syslog local facility local7 level 'debug'
set system syslog remote log.example.internal facility all level 'info'
set system syslog remote log.example.internal facility local7 level 'debug'
set system syslog remote log.example.internal port '514'
set system syslog remote log.example.internal protocol 'udp'
commit
save

すべてを常に詳細化するとノイズが増えます。通常運用で見る facility と、調査時だけ詳しく見る facility を分けておくと、ログの量と有用性のバランスを取りやすくなります。

LLDP で隣接を確認する

LLDP は、VyOS がどのスイッチや隣接機器につながっているかを確認するための入口になります。複数 NIC、bonding、VLAN、仮想スイッチ、トンネルが混在する環境では、接続関係を人の記憶だけに頼るのは危険です。

configure
set service lldp interface eth0
set service lldp interface eth1
commit
save

LLDP は便利ですが、外部向けインターフェイスに出すべきかは環境によります。内部ネットワークの隣接確認には有用ですが、インターネット側や信頼できないセグメントへ機器情報を出す必要は通常ありません。

時刻同期を確認する

ログを使って障害を追う場合、時刻がずれていると調査が難しくなります。VyOS だけでなく、サーバー、スイッチ、ログ基盤、監視基盤の時刻がそろっていることが前提です。

configure
set service ntp server ntp.example.internal
set system time-zone 'Asia/Tokyo'
commit
save

内部に NTP サーバーがある場合は、VyOS もそこへ同期させます。外部 NTP を直接見に行く構成より、内部で時刻同期の出口を確認した方が、Firewall やログの観点でも扱いやすくなります。

初動で見るコマンドを決める

運用で重要なのは、障害が起きてから確認方法を探さないことです。最低限、次のようなコマンドを確認入口として決めておくと、状態確認がぶれにくくなります。

show interfaces
show ip route
show ipv6 route
show firewall
show nat destination rules
show conntrack table ipv4
show conntrack table ipv6
show log
show lldp neighbors
show ntp

ログと状態を関連づける

ログだけを見ても、現在のインターフェイス状態や経路状態と結びついていなければ原因に届きにくくなります。逆に、状態コマンドだけを見ても、いつから変化したのかが分からない場合があります。

• 通信断の時刻と syslog の時刻を合わせる
• interface down と経路消失を関連づける
• Firewall deny と実際の通信方向を合わせて見る
• DNS や NTP の問題を経路や Firewall と合わせて見る
• VPN や tunnel のログと経路変化を同じ時間軸で見る

よくあるつまずき

まとめ

VyOS の運用確認は、設定が正しいかを見るだけではなく、障害時にどこから切り分けるかを決める作業です。syslog を外部へ送り、LLDP で隣接を確認し、NTP で時刻をそろえ、初動コマンドを固定しておくことで、調査の入口が安定します。

複雑なルーティング、VPN、Firewall、NAT を扱うほど、監視・ログ・LLDP のような地味な要素が効いてきます。ルーターの設定は、通信を通すためだけでなく、後から説明できる状態にしておくことが重要です。

関連記事

VyOS DHCP サーバー設定 – LAN 向けアドレス配布の基本 VyOS 基本設定 – 管理 IP / SSH / DNS / NTP / SNMP の初期設定 VyOS IPv4 / IPv6 Firewall 設定 – input / forward の責務を分ける VyOS TCP MSS clamp 設定 – PPPoE / VPN 経路で詰まりを防ぐ VyOS MSS / MTU 設定 – PPPoE 経路で通信が詰まる時の確認 VyOS DNS forwarding 設定 – 内部ネットワークの名前解決を設計する VyOS DNAT / NAT66 destination 設定 – 公開サービスへの転送と Firewall VyOS static route / prefix-list 設定 – 経路と選別条件を分ける