Dotaz: Logovani síťového provozu na portu 25 a 443 (odchozí)?

[Petr]

Ahoj,

může mi někdo, prosím, poradit, jakým způsobem je možné na Debianu logovat odchozí síťový provoz na portu 25 a 443 s informaci o uživateli, který jej spouští?

Dekuji

Petr

---

---

Odpovědi

[NN]

Tak pokud by ti stacila zdrojova IP adresa, tak v celku snadno rovnou v iptables.

[divbyzero]

pomoci iptables

iptables -A OUTPUT -p tcp --dport 25 -j LOG --log-prefix "IPTABLES:OUT 25 "
iptables -A OUTPUT -p tcp --dport 443 -j LOG --log-prefix "IPTABLES:OUT 443 "

do log-prefix si muzes napsat co potrebujes

[divbyzero]

pardon, zapomnel jsem na uzivatele, takhle to je snad komplet, navic i zkracene

-A OUTPUT -p tcp -m multiport --dports 25,443 -m state --state NEW -j LOG --log-uid --log-prefix "IPTABLES:OUT "

[Petr]

Díky... kde se bude log ukládat?

[Petr]

Zadal jsem výše uvedený příkaz a dostal jsem:

iptables -A OUTPUT -p tcp -m multiport --dports 25,443 -m state --state NEW -j LOG --log-uid --log-prefix "IPTABLES:SMTP "
iptables: No chain/target/match by that name.

Jak to můžu vyřešit? Díky

[divbyzero]

1) debian neznam, na rhelu se to lije do /var/log/messages

2) pouzivas iptables? posli vystup z prikazu iptables -vnL

[Petr]

Používám iptables

iptables -vnL
Chain INPUT (policy ACCEPT 520K packets, 100M bytes)
 pkts bytes target     prot opt in     out     source               destination
4498K  444M fail2ban-ssh  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           multiport dports 22
1693K  106M fail2ban-pureftpd  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           multiport dports 21
 117M   24G fail2ban-dovecot-pop3imap  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           multiport dports 110,995,143,993

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 537K packets, 210M bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain fail2ban-dovecot-pop3imap (1 references)
 pkts bytes target     prot opt in     out     source               destination
 117M   24G RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0

Chain fail2ban-pureftpd (1 references)
 pkts bytes target     prot opt in     out     source               destination
1636K  103M RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0

Chain fail2ban-ssh (1 references)
 pkts bytes target     prot opt in     out     source               destination
4483K  442M RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0

[Petr]

Není to tím, že "target" OUTPUT tam nemám?

cat /proc/net/ip_tables_targets
TCPMSS
REJECT
ERROR

[divbyzero]

OUTPUT je chain, ten dle vypisu mas, spis to vypada, ze nemas LOG modul

[divbyzero]

pripadne zkus vylucovaci metodou, co mu vadi

zaklad je todle a pak bych zkusil nabalovat dalsi parametry

iptables -A OUTPUT -j LOG

[Petr]

Přesně to nejde.

iptables -A OUTPUT -j LOG
iptables: No chain/target/match by that name.

[Jendа]

Ale jak se takhle udělá, aby se ten provoz nahrál? Když tam pustím tcpdump, nahraje všechno a nevím, který paket/které spojení komu patřilo. Umí tcpdump nahrávat flagy, když bych ten paket flagnul?

Napadá mě hnusné řešení pakety přeposílat pro různé uživatele na různé porty a pak v tcpdumpu filtrovat podle portu.

[David]

Search keyword: ULOG or NFQUEUE