iptables logok

"megnövekedetek a debug, kern, és syslog fájlok, hogyan tudnám megoldani hogy ezekbe a log-fájlokba ne loggolja a tűzfal forgalmat!"
Ha sehol sem akarod látni a tűzfal logját, akkor érdemesebb inkább a tűzfal logolását megszüntetni. Ha rendszeresen túl nagyra nő emiatt a logfile, akkor felmerül a gyanú, hogy minden logolásra kerül, és nem csak az ésszerűen megválasztott, fontosnak ítélt forgalom. A severityt állíthatod a logolást meghatározó iptables parancsban. Ennek figyelembevételével pedig az általad használt syslog démon konfigurációjában lehet meghatározni, mi hova (ne) kerüljön.

Összefoglalva: logolandó forgalom meghatározása, amennyiben szükséges, megfelelő severity, és esetleg a prefix megfelelő beállítása, ezek alapján a syslog démon beállítása.

Ez engem is érdekel.

"hogyan tudnám megoldani hogy ezekbe a log-fájlokba ne loggolja a tűzfal forgalmat!"

Nem tudom, hogy milyen konfigurációval használod az iptables-t, de én például az alábbi két paranccsal állítom be a logolást:

iptables -A INPUT -m state --state NEW -j ULOG --ulog-prefix "INPUT: " -v
iptables -A FORWARD -m state --state NEW -j ULOG --ulog-prefix "FORWARD: " -v

Ezzel megadod, hogy minden bejövő és áthaladó (route-olt) forgalom felépítéséről készüljön logbejegyzés, de a már felépült kapcsolatok csomagjait nem naplózza. Ezzel a megoldással a logok alapbeállításban a /var/log/ulog/syslogemu.log fájlba kerülnek. A mi tűzfalunkon 2 hétre visszamenőleg vannak meg a logok, ez logrotate-tel van forgatva napi szinten. Ezekkel a beállításokkal jelen pillanatban kb. 600 MB-ot foglalnak ezek a logok, és nem kerül semmilyen bejegyzés a syslog-ba vagy bármilyen más rendszerszintű logfájlba.

vagy ULOG targetet hasznalsz akkor kell egy kulon progi (pl ulogd, specter, stb), vagy siman LOG targetet hasznalsz, es valami ertelmes syslog progival (syslog-ng tudja) kifilterezed a kern.*-bol az iptables logot a log-prefix alapjan. vagy lasd az errol szolo blogom.

--
A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!

Én váltottam syslog-ng-re, mert nem találtam elégnek, hogy a facility-vel és a priority-vel szűrjem a tűzfal bejegyzéseit (amik különben sem erre valók).

syslog-ng-vel definiálhatsz saját szűrőket pl. reguláris kifejezésre, saját kimeneti célokat, miegymás... jó cucc.

Első lépés, az legyen, hogy a syslog-ng -t feltelepíted.
Azután egy kis config:

1. a syslog-gn.conf ~170. sora körül telálod a filtereket tegyél be két újat közéjük:
   filter f_not_firewall {
      not match("FIREWALL_" value("MESSAGE"));
   };
   filter f_firewall {
      match("FIREWALL_" value("MESSAGE"));
   };
2. a syslog-ng.conf 130. sora körül találod a destination -öket tegyél be egy újat:
   destination d_firewall {
      file("/var/log/firewall/${YEAR}/${MONTH}/${YEAR}-${MONTH}-${DAY}-${HOUR}-firewall.log"
           template("${YEAR}-${MONTH}-${DAY} ${HOUR}:${MIN}:${SEC} ${TZ}  [${PRIORITY}.${FACILITY}]  ${MSG}\n")
           template_escape(no));
   };
3. Valamint a 230. sor körül a logokat vedd fel a saját logodat:
   log {
        source(s_all);
        filter(f_firewall);
        destination(d_firewall);
       };
4. Végül keresd meg a syslog, messages és kernel log sorait a log{}; direktívák között és az f_not_firewall szűrőt tedd be a destination(); direktíva elé

Így az összes firewall log a firewall saját logfilejaiba fog menni, mégpedig évenként és havonként külön mappába és óránként külön fileba
Nagyjából ennyi, ha kérdésed van akkor kérdezz.

----
올드보이
http://molnaristvan.eu/

Subscribe