Konfigurieren einer benutzerdefinierten Protokolldatei für iptables

Ich versuche, verworfene Pakete in einer benutzerdefinierten Datei zu protokollieren /var/log/messages.

Um dies zu erreichen, habe ich diese beiden Zeilen am Ende meiner Konfigurationsdatei hinzugefügt:

    -A INPUT -m limit --limit 5/min -j LOG --log-prefix "IPTables-INPUT-Dropped: " --log-level 4
    -A OUTPUT -m limit --limit 5/min -j LOG --log-prefix "IPTables-OUTPUT-Dropped: " --log-level 4

Dies funktioniert, weil ich die INPUT- und OUTPUT-Ketten standardmäßig als DROP konfiguriert habe. Wenn das Paket also keine vorherige Regel erfüllt, wird es protokolliert und gelöscht.

Ich kann sie jedoch nicht in einer benutzerdefinierten Datei protokollieren. Sie melden sich erfolgreich an /var/log/messages, aber ich möchte, dass sie angemeldet sind /var/log/iptables.log. Ich habe die Datei /etc/rsyslog.d/iptables.confmit folgendem Inhalt erstellt:

    :msg, contains, "IPTables-INPUT-Dropped: " - /var/log/iptables.log
    & ~

Dann habe ich rsyslog neu gestartet /etc/init.d/rsyslog restartund einige Pakete gesendet, von denen ich wusste, dass sie gelöscht werden würden. Sie sind jedoch nicht in iptables.log angemeldet, sondern werden immer noch angemeldet /var/log/messages.

Welche Konfiguration fehlt?

Gelöst Das Problem ist, dass zwischen - und / kein Leerzeichen stehen sollte

Das Problem ist, dass zwischen - und / kein Leerzeichen stehen sollte

Dies ist ein alternativer Ansatz ulogd. Ich würde diesen Mechanismus vorschlagen, da er die -m LOGVerwendung des Kernel-Protokollierungsmechanismus stoppt (was den schwerwiegenden Nebeneffekt hat, dass auch Ihr dmesgProtokoll gefüllt wird ).

Zuerst benötigen Sie ulogd, das Sie mit einem bekommen können apt-get install ulogd. Bearbeiten Sie Ihr /etc/ulogd.conf, aktivieren Sie dieses Modul (indem Sie das #am Anfang der Zeile entfernen ):

plugin="/usr/lib/ulogd/ulogd_LOGEMU.so"

und ändern / fügen Sie den Abschnitt hinzu [LOGEMU]:

[LOGEMU]
file="/var/log/iptables.log"
sync=1

Und dann starten Sie Ihre ulogd mit neu /etc/init.d/ulogd restart. Dann statt -j LOGVerwendung -j ULOGauf Ihren iptables - Regeln. Das ULOG-Modul hat kein Konzept, --log-levelsodass Sie diese Optionen entfernen können. Es wird auch --ulog-prefixanstelle von verwendet --log-prefix.

Dies kann möglich sein mit:

Nehmen Sie die folgenden Änderungen vor, um iptables-Protokolle in syslog zu deaktivieren /etc/rsyslog.d/50-default.conf:

*.*;auth,authpriv.none;kern.*=!kern.warning             -/var/log/syslog

So melden Sie sich in einer separaten Datei an; anhängen:

kern.=warning -/var/log/iptables.log

dann einmal neu starten syslogund rsyslogund taildie Protokolle

/etc/init.d/rsyslog restart

Es funktioniert in syslogund rsyslogauch

Zu Ihrer Information:

& ~ist im neuen rsyslog veraltet, sollten Sie stopstattdessen verwenden.

/etc/rsyslog.d/10-iptables

if ( $msg contains 'IN=' and $msg contains 'OUT=' ) 
then { 
    /var/log/10-iptables.log
    stop
}

/etc/logrotate.d/iptables

/var/log/iptables.log
{
        rotate 30
        daily
        missingok
        notifempty
        delaycompress

        postrotate
                service rsyslog rotate > /dev/null
        endscript
}

Beachten Sie, dass ich das Präfix auf 10 gesetzt habe, um es abzufangen, bevor es die Standardregeln erreicht (50 Standardeinstellungen).

Eine funktionierende Lösung mit ulogd

a) Stellen Sie sicher, dass Sie dieses Modul beim Start haben

modprobe nf_log_ipv4
cp /etc/modules /etc/modules.bak
echo nf_log_ipv4 >> /etc/modules

b) Bearbeiten Sie die Datei /etc/ulogd.conf, um diese Plugins zu aktivieren (Kommentar #)

plugin="/usr/lib64/ulogd/ulogd_inppkt_NFLOG.so"
plugin="/usr/lib64/ulogd/ulogd_filter_IFINDEX.so"
plugin="/usr/lib64/ulogd/ulogd_filter_IP2STR.so"
plugin="/usr/lib64/ulogd/ulogd_filter_PRINTPKT.so"
plugin="/usr/lib64/ulogd/ulogd_output_LOGEMU.so"
plugin="/usr/lib64/ulogd/ulogd_raw2packet_BASE.so"

Fügen Sie diese Zeile vor dem ersten kommentierten # Stapel hinzu

stack=firewall11:NFLOG,base1:BASE,ifi1:IFINDEX,ip2str1:IP2STR,print1:PRINTPKT,emu11:LOGEMU

und schließlich am Ende der Datei diese Zeilen hinzufügen

[firewall11]
group=11

[emu11]
file="/var/log/iptables.log"
sync=1

c) Jetzt bevorzuge ich die Verwendung der alten Methode des iptables-Skripts anstelle von firewalld. In meinem iptables-Skript verwende ich diese Zeilen für die Protokollierung.

# Log
iptables -N LOGGING
iptables -A INPUT -j LOGGING
iptables -A FORWARD -j NFLOG
iptables -A LOGGING -j NFLOG --nflog-prefix "[firewall-drop]:" --nflog-group 11
iptables -A LOGGING -j DROP

d) die letzten Teile

touch /var/log/iptables.log
systemctl restart ulogd

Überprüfen Sie, ob Sie mit diesem Befehl arbeiten

tail -f /var/log/iptables.log

Nach einem Ereignis sollten einige Zeilen angezeigt werden: nmap portscan oder einfach Telnet auf Ihrem Computer (Hoffnung ist deaktiviert oder Firewall).