Re: [gentoo-user-de] syslog-ng filtert iptables (nicht)

[Dominik Elsbroek <dominik.elsbroek@gmail.com>]

hm, ja im grunde schon, ich habe mein syslog und netfilter so
angepasst, dass mir z.B. ausgehende verbindungen in ner seperaten file
gespeichert werden. genauso wie connects auf meinen sshd, verschiedene
scans und invalid packets.
und meinw syslog-ng.conf ist in etwa nach dem sicherheitsleitfaden,
daher meinte ich, dass du bei dem kern src das and match not einbauen
muesstest.
Gruss Dominik


2005/7/8, z3rosix@my-mail.ch <z3rosix@my-mail.ch>:
> Hallo,
> 
> alles klar hab selber meinen Fehler gefunden.
> Die Sachen die der Kernel meldet gehen ja nicht über /dev/log sondern
> über /proc/kmsg, und dafür is bei gentoo eine eigene src konfiguriert:
> 
>         source src { unix-stream("/dev/log"); internal(); };
>         source kernsrc { file("/proc/kmsg"); };
> 
> D.h. ich musste einfach meine Zeile
>         log { source(src); filter(f_iptables); destination(iptables); };
> nach
>         log { source(kernsrc); filter(f_iptables); destination(iptables); };
> ändern und schon logt er alles nach /var/log/iptables
> 
> 
> greetz
> 
> 
> alex
> 
> On Thu, Jul 07, 2005 at 08:13:55PM +0200, z3rosix@my-mail.ch wrote:
> > sers,
> >
> > ich hab ein problem mit syslog-ng. Ich möchte das er meine iptables
> > drops in ein spezielles file (/var/log/iptables) logt. Dafür markier ich
> > alle gedropten pakete bei iptables mit "-j LOG --log-prefix "iptables: "
> > "
> > Beim syslog-ng hab ich eine entsprechende destination, filter usw.
> > konfiguriert:
> >
> > destination iptables { file("/var/log/iptables"); };
> > filter f_iptables { match("iptables:"); };
> > log { source(src); filter(f_iptables); destination(iptables); };
> >
> > aus meiner sicht sieht eigentlich alles gut aus, nur irgendwarum landen
> > die drops immer noch in "/var/log/kern.log".
> > ich hab die iptables regel auch schon ganz am anfang hingesetzt, weil
> > ich gelesen hab das der ja nur einmal logt und dann würde es erklären
> > warums in "kern.log" landet aber auch wenns ganz am anfang steht klappts
> > nicht.
> >
> >
> > Weiß jemand noch rat?
> >
> >
> > thx im voraus
> >
> >
> > greetz
> >
> > alex
> >
> > --
> > gentoo-user-de@gentoo.org mailing list
> 
> --
> gentoo-user-de@gentoo.org mailing list
> 
>

-- 
gentoo-user-de@gentoo.org mailing list