Firepowerのsyslog保存期間

[t-iketani]

Firepower自体でのsyslog保存期間についてどなたかご存じの方がいたら、ご教示いただけますすでしょうか。
Firepower 3100シリーズを使用しています。FirepowerはアプライアンスでASAとして動作せています。OSは、9.20(3)を使っています。
syslog情報は、基本的に外部logサーバに転送する設定となっていますが、何らかの問題で外部logサーバが使えなくなったことを考えて、自装置にてsyslog保存期間があるのか知りたいと思います。条件として、装置や外部環境が安定していて、syslog保存領域で上書きがないという前提とします。
この条件では、Firepowerが起動している限り、syslogは残る、という認識でよろしいでしょうか。
またもしFirepower上のsyslog保存期間の設定があるようであれば、教えて下さい。

[Akira Muranaka]

こんにちは！ 

ASAの場合は具体的な保存期間はなく、逆にバッファサイズ（カスタマイズ可能）が決まっており、それを超えるログは古い物から上書き保存されていきます。そのためバッファサイズを大きくすれば、その分、保持しておける量と期間も伸びますが、コネクションログを logging bufferedに試してしまうとすぐにログがあふれ古いのから消えてしまうため、例えば、error以上のログのみ logging buffered (機器内部)に貯める、などチューニングして頂くと良いと思います。

以下ドキュメントも、合わせてご参考くださいませ。

https://community.cisco.com/t5/-/-/ta-p/3163771

Internal Bufferや ASDM Logging Bufferは容量が限られており、いっぱいになると古いログメッセージから消えてしまいます。 仮に通信量が多い環境で InformationalやDebuggingの出力を指定すると、大量のログが出力され、古いログメッセージがすぐ失われやすくなります。 トラブルシューティングのため、古いErrorやCritical、Alertログも show logコマンドで長い時間 確認できるようにしたい場合は、Internal BufferのSeverityレベルを CriticalやErrorなど、より重大度の高いものに設定を検討します。

また、Internal Buffer (show logで確認)を多用する環境の場合、logging buffer-sizeコマンドで、バッファ容量の変更もお勧めします。 デフォルト4096バイトから 40,000バイトなど大きな容量に変更(コマンド例=logging buffer-size 40000)しておき、格納量を事前に増やしておきます。 logging buffer-sizeコマンド利用時のメモリ影響は極めて軽微ですので、基本的に適度に大きいバイトの指定をお勧めします。