# Cisco Switches

filter f_cisco {
   facility(local7,local4,local0,local6,local2,local3,local5) and
   level(debug..crit) and
   host("^n[a-z][a-z](rr|vr|ex|ix|ux|ap|hr|hx)([0-9a-zA-Z\-]+)\.([a-zA-Z\-]+)\.([a-zA-Z\-]+)\.([a-zA-Z\-]+)") or
#   host("[1-9\-].*") or
   host("ndecc620.de.festo.net")  or
   host("ndecc813.de.festo.net")  or
   host("nuscc004.us.festo.net")  or
   host("ndecc970.de.festo.net")  or
#   host("ndecc100.de.festo.net")  or
   host("ncncc004.cn.festo.net")  or
   host("ncncc502.cn.festo.net")  or
   host("nsgcc001.sg.festo.net")  or
   host("nchcc100.ch.festo.net")  or
   host("nidcc002.id.festo.net")  or
   host("nkrcc002.kr.festo.net")  or
   host("nnlcc00(1|2).nl.festo.net")  or
   host("ndecc10(0|1).de.festo.net")  or
   host("nhucc00(2|3).hu.festo.net")  and
   not (host("ndeise*" type(glob)) or
       host("ndefw*" type(glob)) or
       host("ndevr5*" type(glob)) or
       host("ndevr6*" type(glob)) or
       host("NDERR992" type(glob)) or
       host("ndeacs*" type(glob)) or
       host("nusrr190.us.festo.net") or
       host("nusrr053.us.festo.net") or
       host("nsgrr203.sg.festo.net") or
       host("nderr230.de.festo.net") or
       host("nderr231.de.festo.net") or
       host("ndeex031.de.festo.net") or
       host("ndeex038.de.festo.net") or
       host("nderr234.de.festo.net")) or
       (facility(user) and  match ("%WAAS" value ("MESSAGE")));
};
destination df_cisco {
        file(
                "/DATA/logging/Switches/$HOST"
                perm(644)
                create_dirs(yes)
                dir_owner("splunk") 
                dir_group("splunk") 
                dir_perm(0770)
                owner("splunk") 
                group("splunk") 
                perm(0770)
        );
};

log { 
   source(remote_net); 
   filter(f_cisco);
   destination(df_cisco); 
};



