Dotaz: Iptables a logovanie

[Yusho]

zdravim a zaroven vas prosim o radu... ako mam v iptables nastat LOGOVANIE tak, aby do logov zapisovalo ibe dropnute, alebo rejectnute udaje napr. pripajanie sa na ftp server pod ip, ktora nieje povolena, pokus o synflood, alebo ping of dead cize prekrocenie intervalu... viem, ze sa tu o tom bavilo, ale neako som to nepochopil... PS: neviete ako sa da v iptables nastavit iny txt subor na logovanie, lebo mne to loguje do syslog...

dakujem

Odpovědi

[Michal Marek (twofish)]

Loguje se tam, kde skocite na target LOG. Takze tam kde neco dropujete nebo rejectujete etc. date stejne pravidlo s cilem LOG (pred to ukoncujici pravidlo).

Netfilter do zadneho txt souboru nezapisuje (fuj), loguje normalne do /proc/kmsg, ktery cte klogd a posila to syslogu, ktery to uz ale nedokaze odlisit od ostatnich hlasek jadra... Takze muzete ty logy bud nejak prechroustavat pote co je syslog zapise, nebo nainstalovat syslog-ng a pouzit neco takoveho:

destination d_firewall{ file("/var/log/firewall"); };
...
filter f_firewall { facility(kern) and match("firewall"); };
...
log { source(src); filter(f_firewall); destination(d_firewall); };

kde "firewall" je retezec ktery pridate k tem logum (--log-prefix firewall).

[unchallenger]

Nebo se použije inteligentně target ULOG a hrne se to přes ulogd, takže se nemusí nic matchovat, protože už si to jde od začátku vlastní cestou, navíc se dá použít rovnou v pravidlech až 32 různých skupin (--ulog-nlgroup).

[Yusho]

dakujem pouzil som ulog a vsetko bezchybne funguje... a len tak zo zaujimavosti mi este prosim povedzte, ako by som mohol urobit to, ze ak napr spustim ten

ulogd -d - ten parameter d znamena daemon tak mi ten program vypise

Wed Apr 28 23:32:02 2004 <3> ulogd.c:300 registering interpreter `raw' Wed Apr 28 23:32:02 2004 <3> ulogd.c:300 registering interpreter `oob' Wed Apr 28 23:32:02 2004 <3> ulogd.c:300 registering interpreter `ip' Wed Apr 28 23:32:02 2004 <3> ulogd.c:300 registering interpreter `tcp' Wed Apr 28 23:32:02 2004 <3> ulogd.c:300 registering interpreter `icmp' Wed Apr 28 23:32:02 2004 <3> ulogd.c:300 registering interpreter `udp' Wed Apr 28 23:32:02 2004 <3> ulogd.c:300 registering interpreter `ahesp' Wed Apr 28 23:32:02 2004 <5> ulogd.c:355 registering output `syslogemu'

a moja otazka znie, ci by sa to nedalo urobit tak aby ten program nevypisoval tie veci... ako registering.... proste aby sa spustal tak, aby som o nom ani nevedel... je sice lepsie ked vypise informacie, ale ako som uz povedal "len tak zo zaujimavosti"

dakujem...

[unchallenger]

To tedy nevím. Já ho spouštím přes initlog, takže jeho chybový výstup (stderr) končí ve /var/log/messages...

[Yusho]

neviete nahodou cez co by to bolo najlepsie spustat v slackware... lebo v slackware initlog nieje, alebo to neviem naist