The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

Как вести лог блокировок в iptables и ipfw
Linux:

- Перед правилом блокировки нужно вставить "log" правило:
   iptables -A FORWARD -p tcp -m tcp -s 192.168.0.0/16 --dport 25 \
      -j LOG --log-level debug --log-prefix "outgoing mail" 
   iptables -A FORWARD -p tcp -m tcp -s 192.168.0.0/16 --dport 25 -j DROP

- Проверить запущены ли в системе klogd и syslogd.

- Настроить /etc/syslog.conf на прием kern.debug логов:
   kern.=debug   -/var/log/kernel/info

FreeBSD:
Добавить ключ log в ipfw, например:
   ipfw add 1000 deny log tcp from any to 192.168.10.10 22 via fxp0
   ipfw add 1000 deny log logamount 0 tcp from any to 192.168.10.10 80 via fxp0

Для ведения логов ядро должно быть собрано с IPFIREWALL_VERBOSE или нужно
выставить "sysctl -w net.inet.ip.fw.verbose=1".

Далее проверить чтобы в /etc/syslog.conf было упоминание LOG_SECURITY:
   security.*      /var/log/security

Через параметр logamount передается число записей которые будет записано в лог, 
после превышения записи перестанут появляться в логе, до тех пор пока не будет вызвана команда 
"ipfw resetlog". Максимальное число сообщений можно также установить 
через sysctl net.inet.ip.fw.verbose_limit. 
Для отмены лимитирования на число записей, нужно установить атрибут в 0.
 
30.12.2005
Ключи: log, ipfw, iptables / Лицензия: CC-BY
Раздел:    Корень / Администратору / Система / Syslog, ведение логов

Обсуждение [ RSS ]
 
  • 1, nuz, 03:22, 31/12/2005 [ответить] [смотреть все]
  • +/
    а как это сделать с PF?
     
     
  • 2, BB, 11:36, 31/12/2005 [^] [ответить] [смотреть все]
  • +/
    Гы man pf.conf все очень просто и подробно расписано :)
     
  • 3, usama, 16:36, 21/01/2006 [ответить] [смотреть все]
  • +/
    По поводу iptables - лучше так:

    iptables -A FORWARD -p tcp -m tcp -s 192.168.0.0/16 --dport 25 -m limit --limit 3/minute -j LOG --log-level debug --log-prefix "outgoing mail"

    Иначе логи при интенсивном трафике, особенно из внешней сети, будут расти катастрофически быстро, что чревато заполнением файловой системы и отказом в обслуживании.

    А для правил для внутренней сетки, как в этом конкретном случае, пойдет.

     
  • 4, nnz, 20:36, 06/02/2008 [ответить] [смотреть все]
  • +/
    Есть небольшой вопрос.

    При использовании действия LOG (--log-level debug, прошу заметить) лог блокировок начинает флудиться в активную консоль (tty). Причем начинается это не сразу а после нескольких суток работы без перезагрузки.

    /etc/syslog.conf проверял, вроде ничего подозрительного. Пробовал комментить строку с emerg и даже заменять * на /dev/null (потом естественно killall -SIGHUP syslogd). Не помогает. Видимо лог-левел все-таки определяется правильно. Только по-прежнему непонятно что он делает в моей консоли.

    Ось Mandriva 2008 (kernel 2.6.22.9-desktop-1mdv).

     

    Ваш комментарий
    Имя:         
    E-Mail:      
    Заголовок:
    Текст:



      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor