syslog-ng - leere firewall.log - Netzwerk und Sicherheit (NICHT WLan)

syslog-ng - leere firewall.log

Lieber Besucher, herzlich willkommen bei: GentooForum.de. Falls dies Ihr erster Besuch auf dieser Seite ist, lesen Sie sich bitte die Hilfe durch. Dort wird Ihnen die Bedienung dieser Seite näher erläutert. Darüber hinaus sollten Sie sich registrieren, um alle Funktionen dieser Seite nutzen zu können. Benutzen Sie das Registrierungsformular, um sich zu registrieren oder informieren Sie sich ausführlich über den Registrierungsvorgang. Falls Sie sich bereits zu einem früheren Zeitpunkt registriert haben, können Sie sich hier anmelden.

alex1974

Anfänger

Beiträge: 40

23.01.2011, 10:31

syslog-ng - leere firewall.log

Ich habe iptables installiert und es läuft auch. Jetzt habe ich versucht, mit syslog-ng v3 die Logs in eine eigene Datei /var/log/firewall.log zu schreiben, aber die ist leer. Obwohl in /var/log/messages die Logs drin sind.

Zitat

@version:3.0
## Syslog-ng alex configuration file for Gentoo Linux
options { chain_hostnames(no);
# Die standardmäßige Aktion von syslog-ng ist es, alle 10
# Minuten eine STATS-Zeile zu loggen. Das wird nach einer Weile recht # ekelig. Ändern Sie dies auf 12 Stunden, so dass Sie ein nettes # tägliches Update darüber erhalten, wie viele Nachrichten
# syslog-ng entgangen sind (0).
stats_freq(43200);
create_dirs(yes);
owner(root);
group(root);
perm(0640);};
source src {unix-stream("/dev/log" max-connections(256)); internal(); };
source kernsrc { file("/proc/kmsg"); };

# Ziele festlegen
...
destination firewall { file("/var/log/firewall.log"); };

# create filters
...
filter f_iptables { message('IPTABLES'); };

# Filter und Ziele verbinden
...
log { source(src); filter(f_iptables); destination(firewall); };

meine iptables loge ich mit --log-prefix:

Zitat

# alle sonstigen nicht erlaubten Verbindungen
$IPTABLES -A INPUT -m limit --limit 6/h --limit-burst 5 -j LOG --log-prefix "IPTABLES PROTOCOL-X-IN: "
$IPTABLES -A INPUT -j DROP$IPTABLES -A OUTPUT -m limit --limit 6/h --limit-burst 5 -j LOG --log-prefix "IPTABLES PROTOCOL-X-OUT: "$IPTABLES -A OUTPUT -j DROP

in /var/log/messages werden die auch geloggt:

Zitat

Jan 23 11:14:19 alex-laptop kernel: IPTABLES SSH-22-OUT: IN= OUT=wlan0 SRC=192.168.2.5 DST=192.168.2.4 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=64995 DF PROTO=TCP SPT=46215 DPT=22 WINDOW=5840 RES=0x00 SYN URGP=0
Jan 23 11:14:22 alex-laptop kernel: IPTABLES SSH-22-OUT: IN= OUT=wlan0 SRC=192.168.2.5 DST=192.168.2.4 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=64996 DF PROTO=TCP SPT=46215 DPT=22 WINDOW=5840 RES=0x00 SYN URGP=0

warum erscheinen sie dann nicht in firewall.log?

Zum Seitenanfang

knasan

Fortgeschrittener

Beiträge: 468

23.01.2011, 16:46

Hi alex1974,
ich bin zwar kein syslog-ng crack, aber wenn ich deine regel mit der Doku vergleiche

Zitat von »alex1974«

filter f_iptables { message('IPTABLES'); };

Quellcode

bzcat /usr/share/doc/syslog-ng-3.1.4/*|grep messages | grep filter
    
[tags] added tags() filter to match taged messages
    the netmask filter matches messages with no sockaddr as if they came from 127.0.0.1 (fixes: #nobug)
        (filter_expr_eval): uninlined, added debugging messages (fixes: #3988),
filter      f_messages     { facility(daemon, kern, user); };
      source(s_tcp);      filter(f_messages);  destination(messages); };
filter f_messages { level(info..warn)
log { source(src); filter(f_messages); destination(messages); };
filter f_messages { level(info..warn) 
log { source(src); filter(f_messages); destination(messages); };

ist mir aufgefallen das bei dir message statt messages heißt und ich konnte auch keine Großschreibung in der Doku finden.

Ich würde den filter mal so abändern.

	Quellcode
1	filter f_iptables { messages('iptables'); };

Gruß

knasan

- Bug oder Feature, das darf man sich hier aussuchen. -

Zum Seitenanfang

alex1974

Anfänger

Beiträge: 40

24.01.2011, 18:16

Habe ich schon probiert... leider nicht.
außerdem habe ich auch schon match("IPTABLES" value("MESSAGE")); probiert. Geht auch nicht.

Zum Seitenanfang

knasan

Fortgeschrittener

Beiträge: 468

26.01.2011, 02:50

Hm,

hast du schon mal im gentoo Security Handbuch gesehen?
Ich habe mein Syslog-ng nach dieser Seite eingerichtet.

http://www.gentoo.de/doc/de/security/sec…hap=3#doc_chap2

knasan

- Bug oder Feature, das darf man sich hier aussuchen. -

Zum Seitenanfang

Planeshift

Co-Administrator

Beiträge: 3 162

26.01.2011, 09:17

Hallo,

versuch mal folgendes:

Zitat

destination iptables { file("/var/log/firewall.log"); };
filter iptables { match("regex" value("INPUT")); };
log { source(src); filter(iptables); destination(iptables); };

Dann sollte es in der Datei /var/log/firewall und in der /var/log/messages gelogt werden.

INPUT sollte auch in IPTABLES geändert werden können.

Ist aber nicht wirklich getestet.

Viele Grüße

Dieser Beitrag wurde bereits 2 mal editiert, zuletzt von »Planeshift« (26.01.2011, 09:41)