Meddig kell a logokat megőrizni?

Ezen üzeneted posztolása előtt majdnem kerek két órával írtam neked privátot is, ahol leírtam pár olyan dolgot, amiket nem gondolnék publikusan teríteni. Ennek fényében tényleg van kis kötözködés érzésem:)

A dhcp lease nekem azért kínai, mert én úgy gondolom, hogy nincs értelme dinamikus címekkel fárasztani magamat és az ügyfeleimet. Én mindig dhcp protokollal kiosztott fix ip címeket használok, amelyek csak műszaki okok miatt változnak (tipikusan: rendszer bővítése). Ez egy halom melótól megszabadít, nem kell logolni, naplózni, menteni, stb. stb. hogy mikor kinél milyen ip cím volt, két bővítés között mindig mindenkinél ugyanaz van. És hogy dhcp protokoll szinten ebben focizik a lease time, az mindegy.

A kedvetekért tegnap éjjel belöktem egy szabályt a natolós routerbe, hogy syslogba logolja a conntrack-et. 10 óra alatt 5.5 millió sort rakott bele. Beismerem, az a korábbi vélekedésem, hogy ehhez sok processzor kell, megdőlt, ebben a kérdésben tehát meaculpázom egyet. 10 óra alatt eddig 1G nyers logot gyártott, ez így ebben a formájában 3 évre visszamenőleg kezelhetetlen. Mindjárt betömörítem, majd kiderül, hogy az megoldja-e a gondot.

"192.168.11.111:2110 -> x.x.69.153:80": ez így rohadtul nem elég, jó lenne már ezt elfogadni.

Tegyük fel, egy kis faluban ketten csetelnek ugyanazon a weboldalon.

Mondjuk 192.168.1.1 és 192.168.1.2. Mindketten az egyszerűség kedvéért az 1.1.1.1:80-ra másztak fel a böngészőjükkel. Mivel nem egy privát címet natolok egy publikusra (hanem minimum 16-ot), ezért előállhat a következő helyzet:
Az egyik böngésző indít a 192.168.1.1:2048-as portról 1.1.1.1:80-ra, ebből a tűzfalon lesz mondjuk 2.2.2.2:4096-os cím, ekkor a conntrack táblában ilyesmi lesz benne:
192.168.1.1:2048-2.2.2.2:4096-1.1.1.1:80
Ugyanez a másik gép esetén:
192.168.1.2:2048-2.2.2.2:4097-1.1.1.1:80

Szóval a csetet üzemeltető weboldalon ugyanarról az ip címről, két külön portról fog látszani a tcp kapcsolat nyitási kérelem. Amikor valaki feljelent, akkor a 1.1.1.1 gép gazdája csak azt fogja tudni mondani, hogy a 2.2.2.2-ről jött a kérés, én viszont a lenatolt port nélkül nem tudom megmondani a conntrack tábla alapjám sem, hogy melyik gépről jött az eredeti kapcsolat.

Ez a port probléma.

A másik probléma, hogy amikor lezárta a kapcsolatot a tcp, a conntrack táblában (és a tcp socketben is), ott marad a kapcsolat minden paramétere egy bizonyos ideig annak érdekében, hogyha elkésett csomag bolyong a hálózaton, akkor azt még legyen, ami fogadja (FIN_WAIT-ben vagy TIME_WAIT-ben van, ha jól emlékszem).

Namost ha 16 gépet natolok egy publikus ip-re, akkor azért elég hamar előfordulhat, hogy egy portot újra fel kell használni. Így előfordulhat, hogy a natolt portot megint kiosztja a gép. Ha a bejelentési időpont nem megfelelően konkrét, nem megfelelően pontos, akkor matematikailag fennáll annak a lehetősége, hogy már más ip címe szerepel a conntrack táblában, illetve annak a lehetősége is fennáll, hogy az összes privát cím natolódott a kérdéses időpontban, tehát nem tudom megmondani, hogy ki volt.

Nem azért nem tudom megmondani, mert nem akarom, azért nem tudom, mert az nbh-s adatkérésben csak annyi szerepel, hogy folyó év április 10-én kié volt. Ha megmondják, hogy április 10-én, 12 óra 30 perckor logolták a kapcsolatot, matematikailag akkor is fennáll az esélye, hogy a két rendszeróra eltérése miatt mást jelölök meg a cselekmény elkövetőjeként, mint aki valójában elkövette. Minél több tcp kapcsolatot nyitnak időegység alatt és minél több privát ip címet natolok egy publikusra, annál inkább fennáll a veszélye, hogy az adatközlésben mellényúlok.

Az tényleg jobb, ha nem akarod reklámozni azt a két szolgáltatót... Az én tapasztalataim alapján az optimizmusod téves.

Az első internet szolgáltatásomat 1994-ben pakoltam össze (abban az értelemben, hogy én csak rendszergazda voltam, volt hozzá pénzes ember), úgyhogy láttam már isp-t én is...