access logs from bluecoat proxy to windows user-id agent

[fwguy77]

Trying to get bluecoat proxy to send its access logs to windows user-id agent. configured custom log on bluecoat in the following format

PAN Source=$(c-ip) Username=$(cs-username) Action=$(s-action)

On user-id agent side I am seeing server receiving syslog messages in the format specified

PAN Source=x.x.x.x Username=usernamexxx Action=TCP_HIT

PAN Source=x.x.x.x Username=usernamexxx Action=TUNNELED

...

User-ID agent is confiured with parse filter using Field

Event String: PAN

Username Prefix: Username=

Username Delimeter: \s

Address Prefix: Source=

Address Delimeter: \s

In the UaDebug keep seeing this error

[Error  592]: Syslog msg len read error

Anyone run into the same issue?

What am I doing wrong?

[rmonvon]

Can you instruct the BlueCoat to separate the fields with a comma or semi-colon?  Then change the setting on the PA to match the delimiter:

Username Delimeter: ,
Address Delimeter: ,

I think the \s is used for regex matching whereas the field match is an exact match and the PA was trying to match \s exactly.

[fwguy77]

Thank you rmonvon. No result 😞

I see in verbose output that it is processing syslog, but then it shows error at the end.

For example first message in a syslog would be

PFW Source=some ip,Username=johns,Action=TCP_HIT

 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping P
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping F
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping W
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping 
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping S
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping o
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping u
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping r
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping c
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping e
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping =
 06/28/16 20:44:58:388[Verbo  596]: Syslog msg len is 10
 06/28/16 20:44:58:388[Debug  371]: Syslog: Unable to display contents of message, it exceeds the length debug messages allow.
 06/28/16 20:44:58:388[Verbo  615]: recv 0-2047, msg 23-22
 06/28/16 20:44:58:388[Verbo  596]: Syslog msg len is 4
 06/28/16 20:44:58:388[Debug  371]: Syslog: Unable to display contents of message, it exceeds the length debug messages allow.
 06/28/16 20:44:58:388[Verbo  615]: recv 0-2047, msg 28-27
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping r
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping n
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping a
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping m
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping e
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping =
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping j
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping o
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping h
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping n
 06/28/16 20:44:58:388[Verbo  617]: Syslog msg, skipping s
 06/28/16 20:44:58:388[Error  592]: Syslog msg len read error

I will try to make a single message shorter

[rmonvon]

Can you take a screenshot of the syslog field settings on the PA and post it here?

Also, do you have a syslog server like Kiwi syslog server that you can point the BlueCoat to?  We want to confirm the exact syslog output that is being forwarded.

[fwguy77]

I don't have kiwi, but I have wireshark running on windows box where user-id agent is installed and I am seeing in wireshark something like below

TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_DENIED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_POLICY_REDIRECT,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_CLIENT_REFRESH,u:johns,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_HIT,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TUNNELED,u:johns,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_DENIED,u:-,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_ACCELERATED,u:johns,s:10.1.1.100
TCP_NC_MISS,u:johns,s:10.1.1.100