IPTables Logging!!!

[kox666]

Hi@all

ich hab eine kleine Frage!!!

Wo speichert IPTables die Logfiles und was hab ich für Möglichkeiten diese (ob von extern oder Intern) Abzurufen???

Wäre echt cool wenn ihr mir das sagen könntet!!!

[Bert]

Standartmäßig geht das in /var/log/messages rein. Das kannst Du einfach per

Code: Alles auswählen

tail -f /var/log/messages

beobachten, egal von wo aus. Aber sei gewarnt mit dem logging. Ich ahbe es recht schnell deaktiviert, da ich sonst nichts Anderes mehr im log gefunden habe. Ist echt erstaunlich, wie sich das Internet in den letzten 2-3 Jahren geändert hat. Früher war es eine Sensation, wenn man mal gescannt wurde, heute kommt das fast jede Stunde vor. Und dann sind da noch die vielen fehlgeleiteten Verbindungversuch durch die Sharenetzwerke, die durch die dynamische IP Vergabe schnell mal am falschen Host rauskommen...
Erwarte also nicht zuviel. Das Logging ist aber gut, um bei Problemen mit der Firewall weiter zu kommen.

[kox666]

Ich habe ein bischen herumgefragt und gesucht!!!

Ich kann euch wärmstens "fwanalog" ans Herz legen, das proggi zieht sich die Firewalldaten aus den loggs raus (/var/log/syslog und /var/log/messages) und konvertiert sie als html-files mit Statistiken etc. in ein von dir ausgewähltes verzeichnis!!!

einfach nur geil!!!

thx Marco

[Drum D.]

Hi Leute,
ich habe vor kurzem damit begonnen einen Debian-Router aufzubauen, habe jetzt aber ein kleines Problem.
Ich benutze das hier schon öfters gepostet Firewallscript von glatzor.
Dieses Script hat ja am Ende folgende Einträge zum loggen der Daten

# Alles was bis hier kommt, mitprotokollieren
iptables -A OUTPUT -j LOG --log-prefix "Nicht raus: "
iptables -A FORWARD -j LOG --log-prefix "Nicht durch: "
iptables -A INPUT -j LOG --log-prefix "Nicht rein: "

Ist ja auch toll nur werden mir die Logging Daten auf der Konsole ausgegeben wo ich das Script starte, ich hätte das aber gerne nur in eine Datei abgespeichert.

Im Moment starte ich das Script halt per Hand wenn ich teste, was passiert wenn das mit dem verbindungsaufbau zusammen anläuft habe ich noch nicht probiert.

Ich hab gelesen, dass der syslogd das ganze abhandeln kann bin aber nicht so richtig schlau geworden.
Was muss ich da wo eintragen um die Konsole noch "normal" nutzen zu können.

Drum D.

[arteist]

Ich habe mir jetzt mal fwanalog aufgespielt, doch er beschwert sich leider über ein falsches logformat...
ich logge mit folgendem code:

Code: Alles auswählen

-A INPUT -m limit --limit 5/min -j LOG --log-prefix "INPUT_DROP: "
-A OUTPUT -m limit --limit 5/min -j LOG --log-prefix "OUTPUT_DROP: "

ich poste mal den wichtigen auszug aus dem output beim manuellen aufrufen von fwanalog:

Code: Alles auswählen

C: 192.168.1.31 - OUTPUT_DROP: [21/Dec/2002:23:32:16 +0100] "GET /192.168.1.31/TCP/5200/ HTTP/1.0" 200 40 "http://42710/" "" 0 eth0
C:                                                                                                                           *
C: 192.168.1.31 - OUTPUT_DROP: [21/Dec/2002:23:32:22 +0100] "GET /192.168.1.31/TCP/5200/ HTTP/1.0" 200 40 "http://42710/" "" 0 eth0
C:                                                                                                                           *
C: 192.168.1.31 - OUTPUT_DROP: [21/Dec/2002:23:32:31 +0100] "GET /192.168.1.31/TCP/5200/ HTTP/1.0" 200 40 "http://42710/" "" 0 eth0
C:                                                                                                                           *
analog: Warning L: Large number of corrupt lines in logfile
  /var/log/fwanalog/fwanalog.all.log: turn debugging on or try different
  LOGFORMAT
    Current logfile format:
      %S %j %j [%d/%M/%Y:%h:%n:%j] "%j%w%r%wHTTP%j" %c %b "%f" "%B"\n
      %S %j %j [%d/%M/%Y:%h:%n:%j] "%j%w%r" %c %b "%f" "%B"\n
      %S %j %j [%d/%M/%Y:%h:%n:%j] "%r" %c %b "%f" "%B"\n

Kann mir da jemand helfen, wo ich was übersehen habe?