Dotaz: Monitoring portu smtp na routeru

[Jirka]

Zdravim,

uz dva dny hledam a nic, tak se obracim na vas. Potrebuji logovat port SMTP (odchozi posta) mezi PC a SMTP serverem poskytovatele pres router. Router je na linuxu s maskaradou. tcpdump vypisuje perfektne data ale nevim jak ho donutit bezet stale a zapisovat do souboru. Diky vsem za pomoc

Jura

Odpovědi

[pistik]

tcpdump > log &; tailf -f log

[Jirka]

Trosku podrobneji pleas, zda se ze nemam nainstalovane tailf, pise to chybu tcpdump > log & tailf -f log [2] 26055 tcpdump: listening on eth0 bash: tailf: command not found a stale nevim jak to zavest aby to bezelo stale, pujde to pridat do init.d ? Diky

[unchallenger]

Mno. Když nemám tailf, použiji tail -f (on už myslím dneska stejně funguje stejně jako tailf) nebo použiji google a stáhnu si ho. V tomto případě je tailf asi stejně k ničemu, protože to bude pořád něco zapisovat. Jinak tcpdump >log (což je IMHO velmi praštěná metoda logování, kdyby pro nic jihého, tak kvůli tomu, kolik žere CPU a vypisuje věcí, které nikdy nebudeš chtít vidět) můžeš spokojeně spustit jakkoli, klidně z initu (politicky korektní metoda závisí na distribuci), jen si asi budeš nastavit logrotate, aby ten log rotoval a restartoval tcpdump, protože jinak ti brzy vyroste, že se nevejde do case... tailem si to jen prohlížíš, můžeš si ho spustit klidně na každé konzole, nijak s tím nesouvisí...

[Jirka]

Kdyz je to prasntena metoda logovani, mas nejaky lepsi napad ? Potrebuji logovat jen jeden port, moc tam toho nebeha ale tcpdump asi stejne sezere hodne CPU. V logu potrebuji pouze spojeni z ktere IP kam a cas, obsah ani tak ne.

[unchallenger]

Možná kdybys logoval jen SYN pakety, že by to bylo snesitelné, protože nejvíc by IMHO zdržovalo logování každého jenotlivého paketu na port 25 -- otázka je, jestli tím získáš dostatek informací pro identifikaci spammerů (OTOH jich získáš tak málo, že to určitě bude legální ;-)

[Roman DAVID]

A co takhle pouzit iptables a LOG target?

[Beda]

koukni se na parametr "-w" a "-s" a jak se zada treba vyraz "host adresa and port cislo" a vubec co si treba procist dokumentaci. nejsem pravnik, ale jestli to vazne chces udelat, tak budes mit mozna pravni problem.

[Jirka]

Dik za radu na to se zamerim. Nemyslim ze muzu mit problem z logovani spojeni kdyz nebudu logovat nebo ukladat obsah, ale zarucene budu mit problemy pokud nebudu moc zjistit ze ktereho PC odchazi SPAM

[Petr Šobáň]

Jak už někdo psal pomocí iptables jako cilový stroj dej ten smtp server a port toho smtp serveru + parametr log. /sbin/iptables -A INPUT -d postovni_server --dport 25 --syn -j LOG --log-prefix "Posta: " --log-level 6 Nebo si tam zariď vlastni smtp server a vsechno smeřuj na ten svůj a z toho svého to potom přeposílej na ten tvého providera a budeš mít kontrolu kompletně nad správami, můžeš potom tam použít nějaký spamový filtr a spamy zachytíš ještě u sebe a můžeš je vracet odesílateli.

[Petr Šobáň]

Grrr asi tam bude správně /sbin/iptables -A FORWARD -d postovni_server --dport 25 --syn -j LOG --log-prefix "Posta: " --log-level 6 Protože je to od jiného PC pro jiný doufám že jsem se nikde nesekl už ((

[Jirka]

Diky moc za rady, zkousim i ten smtp server, trosku zapasim s konfiguraci eximu ale to se podda, zatim diky lidi. Jsem rad ze se jeste najde nekdo kdo poradi neco jineho nez RTFM

[Antonin Fabicovic]

jak to tak čtu, tak nechápu proč se drbeš levou rukou za pravým uchem. Chápu-li to správně, chceš zamezit ODCHOZÍ smtp komunikaci. Proč logovat, když můžeš na firewallu povolit odchozí komunikaci na port 25 pouze z legálního SMTP serveru. Pokud tvůj spammer má vlastní smtp engine, je vymalováno, pokud použije tvůj legální SMTP, krásně ho dohledáš v logu tvého SMTP serveru. Pokud jsem zcela mimo mísu, ber to jako bezpředmětný příspěvek

[Antonin Fabicovic]

BTW, výše uvedené firewallové pravidlo (no spíše sada pravidel) je jedním z dobrých bezpečnostních opatření: jednak se zamezí rozesílání případných virových nákaz a jednak v korporátním prostředí má vlastník/admin kontrolu nad tím, jaká pošta odchází z jeho IP adres