| View previous topic :: View next topic |
| Author |
Message |
think4urs11
Bodhisattva
Joined: 25 Jun 2003
Posts: 6659
Location: above the cloud
|
 Posted: Sun Jul 12, 2009 3:02 pm Post subject: |
 |
|
| pieter_parker wrote: | | waere es so korrekt ? |
nein - es widerspricht weiterhin sowohl 1) wie auch 2) in meinem vorherigen Beitrag
_________________
Nothing is secure / Security is always a trade-off with usability / Do not assume anything / Trust no-one, nothing / Paranoia is your friend / Think for yourself |
|
| Back to top |
|
 |
pieter_parker
Veteran
Joined: 07 Aug 2006
Posts: 1488
Location: 127.0.0.1
|
| Posted: Sun Jul 12, 2009 3:46 pm Post subject: |
|
|
| Code: | options {
chain_hostnames(off);
sync(0);
stats(43200);
};
source local {
unix-stream("/dev/log" max-connections(256));
internal();
file("/proc/kmsg");
};
destination messages { file("/var/log/messages"); };
destination iptables { file("/var/log/iptables"); };
filter f_iptables { facility(kern) and match("IN_=") or match("OUT=") or match("FOR="); };
log { source(local); filter(f_iptables); destination(iptables); flags(final); };
destination kern { file("/var/log/kern"); };
destination console_all { file("/dev/tty12"); };
log { source(local); destination(messages); };
log { source(local); destination(console_all); }; |
also fliegen mit staebchen fangen kann ich, das ist einfacher als syslog-ng zu konfigurieren glaub ich 8O
destination
filter
und log
auch in der reinfolge nun
korrekt ? |
|
| Back to top |
|
|
think4urs11
Bodhisattva
Joined: 25 Jun 2003
Posts: 6659
Location: above the cloud
|
| Posted: Sun Jul 12, 2009 3:59 pm Post subject: |
|
|
| pieter_parker wrote: | | Code: | | filter f_iptables { facility(kern) and match("IN_=") or match("OUT=") or match("FOR="); }; |
also fliegen mit staebchen fangen kann ich, das ist einfacher als syslog-ng zu konfigurieren glaub ich  |
fast 
Du hast weiterhin das Problem daß der Filter bei 'kern+IN=_' sowie bei 'OUT=' bzw. 'FOR=' greift. Bei den beiden letzten ist es völlig egal mit welcher Facility diese geloggt werden, d.h. es kann zu 'Falschfiltern' kommen. (Weil 'Punkt vor Strich' bzw. hier AND geht vor OR)
_________________
Nothing is secure / Security is always a trade-off with usability / Do not assume anything / Trust no-one, nothing / Paranoia is your friend / Think for yourself |
|
| Back to top |
|
|
pieter_parker
Veteran
Joined: 07 Aug 2006
Posts: 1488
Location: 127.0.0.1
|
| Posted: Sun Jul 12, 2009 4:03 pm Post subject: |
|
|
achso, dann also einfach AND durch OR ersetzen ?
| Code: | | filter f_iptables { facility(kern) OR match("IN_=") or match("OUT=") or match("FOR="); }; |
so ? |
|
| Back to top |
|
|
think4urs11
Bodhisattva
Joined: 25 Jun 2003
Posts: 6659
Location: above the cloud
|
| Posted: Sun Jul 12, 2009 4:06 pm Post subject: |
|
|
nö, so würde alles mit facility kern oder IN/OUT/FOR irgendwo in der Message geloggt - auch nicht wirklich was du willst, oder?
_________________
Nothing is secure / Security is always a trade-off with usability / Do not assume anything / Trust no-one, nothing / Paranoia is your friend / Think for yourself |
|
| Back to top |
|
|
pieter_parker
Veteran
Joined: 07 Aug 2006
Posts: 1488
Location: 127.0.0.1
|
| Posted: Thu Dec 31, 2009 2:21 pm Post subject: |
|
|
| ich bekomme es nicht selbst hin und brauche wen der mir bitte sagt wie meine config aussehen muss damit iptables nicht nach /var/log/messages schreibt, sondern nach /var/log/iptables schreibt ? |
|
| Back to top |
|
|
pieter_parker
Veteran
Joined: 07 Aug 2006
Posts: 1488
Location: 127.0.0.1
|
| Posted: Thu Jan 07, 2010 1:44 pm Post subject: |
|
|
| fragezeichen |
|
| Back to top |
|
|
apraxas
n00b
Joined: 20 Dec 2004
Posts: 36
|
| Posted: Thu Jan 07, 2010 4:15 pm Post subject: |
|
|
| think4urs11 wrote: | | pieter_parker wrote: | | Code: | | filter f_iptables { facility(kern) and match("IN_=") or match("OUT=") or match("FOR="); }; |
also fliegen mit staebchen fangen kann ich, das ist einfacher als syslog-ng zu konfigurieren glaub ich |
fast
Du hast weiterhin das Problem daß der Filter bei 'kern+IN=_' sowie bei 'OUT=' bzw. 'FOR=' greift. Bei den beiden letzten ist es völlig egal mit welcher Facility diese geloggt werden, d.h. es kann zu 'Falschfiltern' kommen. (Weil 'Punkt vor Strich' bzw. hier AND geht vor OR) |
| Code: | | filter f_iptables { facility(kern) and (match("IN_=") or match("OUT=") or match("FOR=")); }; |
sollte wohl gehen - es sei den der syslog kann keine Klammern, dann sollte das wohl gehen...
| Code: | | filter f_iptables { facility(kern) and match("IN_=") or facility(kern) and match("OUT=") or facility(kern) and match("FOR="); }; |
|
|
| Back to top |
|
|
Tiberian
n00b
Joined: 03 Jan 2008
Posts: 13
|
| Posted: Thu Jan 07, 2010 8:29 pm Post subject: |
|
|
Mit nem Log Prefix wäre es noch einfacher zu filtern:
| Code: |
iptables -A OUTPUT -j LOG --log-prefix firewall:
iptables -A INPUT -j LOG --log-prefix firewall:
iptables -A FORWARD -j LOG --log-prefix firewall:
|
| Code: |
filter f_firewall { facility(kern) and match(".*firewall:.*"); };
|
Grüße
Tiberian |
|
| Back to top |
|
|
|
Deutsches Forum (German)
