Dotaz: logovani MAC adres pri routingu?

[PepeONaChair]

Ahoj,

system: Debian Squeeze 64bit; funkce: gateway pro vetsi sit s NATem i routovanim verejnych IP adres;

Problem: Potrebuji zjistovat MAC adresy pocitacu na lokalni siti (vsechny dostupne na L2) z logu, ktere vygeneruji zaznam v /var/log/messages (nebo koneckoncu pripadne kdekoliv jinde) protoze provadeji napr. SYN FLOOD utoky. Podle mych pozorovani jsou MAC adresy logovany jen v pripade, ze je utok smerovany na tu gateway a tam konci (tj. v logu je "pole" MAC=...). Pokud ma utok projit skrz router, MAC adresy se neloguji (v tomhle pripade si pomaham tdpdumpem)

Otazka: Jak lze donutit system, aby logoval MAC adresy i v pripade, ze utoky serverem prochazi?

Diky Pep. PS: Neco jako snort (a zrejme prave snort) budu v nejblizsi dobe nasazovat, ale tohle je pro me zatim rychle osetreni aktualniho bolesti.

Odpovědi

[alkoholik]

Prihod si do firewallu iptables pravidlo s necim jako -p tcp --syn -m limit --limit 100/second --limit-burst 150 -j LOG

[PepeONaChair]

Ahoj, jestli tomu dobre rozumim, tim pridavkem zapnu logovani pokud bude prekroceny ten --limit

Toto uz ale mam a logovani mi funguje. Problemem ale je, ze se takto do logu nezaznamenavaji MAC adresy v pripade, ze se jedna o traffic prochazejici skrz router. V logu pak uplne chybi pole jako napr. "MAC=00:78:90:3b:7b:9b:00:89:2f:3c:2a:0e:08:00". Je mozne nekde konfigurovat format, v jakem se logy zapisuji?

[hermelin]

myslis --log level ?

--log level
           Log determined genres into dmesg even if  they  do  not  match  the
           desired one.  level can be one of the following values:

       ·   0 - Log all matched or unknown signatures

       ·   1 - Log only the first one

       ·   2 - Log all known matched signatures

[hermelin]

Resp.

  --log-level level
              Level of logging (numeric or see syslog.conf(5)).

[alkoholik]

A kde mas to pravidlo povesene?
Hadam, ze MAC muzes logovat jenom v INPUT nebo PREROUTING.

[Ivan]

Ne ze bych mel neco proti Linuxu - to vubec ne - ale nebylo by lepsi pro takovouhle vec koupit na eBay nejaky starsi PIX? PS: Na logovani traficu se pouziva netflow.