From mboxrd@z Thu Jan 1 00:00:00 1970 Received: from lists.gentoo.org ([140.105.134.102] helo=robin.gentoo.org) by nuthatch.gentoo.org with esmtp (Exim 4.43) id 1DqyXE-0002ov-EV for garchives@archives.gentoo.org; Fri, 08 Jul 2005 19:29:16 +0000 Received: from robin.gentoo.org (localhost [127.0.0.1]) by robin.gentoo.org (8.13.4/8.13.4) with SMTP id j68JRjZG031502; Fri, 8 Jul 2005 19:27:45 GMT Received: from zproxy.gmail.com (zproxy.gmail.com [64.233.162.197]) by robin.gentoo.org (8.13.4/8.13.4) with ESMTP id j68JRhHS018629 for ; Fri, 8 Jul 2005 19:27:45 GMT Received: by zproxy.gmail.com with SMTP id 4so226784nzn for ; Fri, 08 Jul 2005 12:27:54 -0700 (PDT) DomainKey-Signature: a=rsa-sha1; q=dns; c=nofws; s=beta; d=gmail.com; h=received:message-id:date:from:reply-to:to:subject:in-reply-to:mime-version:content-type:content-transfer-encoding:content-disposition:references; b=oTRGZr/LbIdRa1u2XODAxKluKa6ooLKHwhkEqWqwto9Uczhm2acPwmm7E3Su8ClXzxd6JRlWTPTVms7Jium9DrefxJ51e0xb26PzZnnNHj6AJgMKDKcASksU0diy4H24deu3xNk745MA/7Oya7UoHmsrElKpDw0irhbxllxvLXE= Received: by 10.36.141.10 with SMTP id o10mr762333nzd; Fri, 08 Jul 2005 12:27:54 -0700 (PDT) Received: by 10.36.23.3 with HTTP; Fri, 8 Jul 2005 12:27:54 -0700 (PDT) Message-ID: Date: Fri, 8 Jul 2005 21:27:54 +0200 From: Dominik Elsbroek To: gentoo-user-de@lists.gentoo.org Subject: Re: [gentoo-user-de] syslog-ng filtert iptables (nicht) In-Reply-To: <20050708095342.GA13376@gmx.de> Precedence: bulk List-Post: List-Help: List-Unsubscribe: List-Subscribe: List-Id: Gentoo Linux mail X-BeenThere: gentoo-user-de@gentoo.org Reply-to: gentoo-user-de@lists.gentoo.org Mime-Version: 1.0 Content-Type: text/plain; charset=ISO-8859-1 Content-Disposition: inline References: <20050707181355.GB30176@gmx.de> <20050708095342.GA13376@gmx.de> X-MIME-Autoconverted: from quoted-printable to 8bit by robin.gentoo.org id j68JRhHS018629 Content-Transfer-Encoding: quoted-printable X-MIME-Autoconverted: from 8bit to quoted-printable by robin.gentoo.org id j68JRjZm031502 X-Archives-Salt: 3b55bfd1-e94f-4ca7-a6b7-58c3d1078080 X-Archives-Hash: a7ef7a546ba13d27db7c917abf8c42f0 hm, ja im grunde schon, ich habe mein syslog und netfilter so angepasst, dass mir z.B. ausgehende verbindungen in ner seperaten file gespeichert werden. genauso wie connects auf meinen sshd, verschiedene scans und invalid packets. und meinw syslog-ng.conf ist in etwa nach dem sicherheitsleitfaden, daher meinte ich, dass du bei dem kern src das and match not einbauen muesstest. Gruss Dominik 2005/7/8, z3rosix@my-mail.ch : > Hallo, >=20 > alles klar hab selber meinen Fehler gefunden. > Die Sachen die der Kernel meldet gehen ja nicht =FCber /dev/log sondern > =FCber /proc/kmsg, und daf=FCr is bei gentoo eine eigene src konfigurie= rt: >=20 > source src { unix-stream("/dev/log"); internal(); }; > source kernsrc { file("/proc/kmsg"); }; >=20 > D.h. ich musste einfach meine Zeile > log { source(src); filter(f_iptables); destination(iptables); }= ; > nach > log { source(kernsrc); filter(f_iptables); destination(iptables= ); }; > =E4ndern und schon logt er alles nach /var/log/iptables >=20 >=20 > greetz >=20 >=20 > alex >=20 > On Thu, Jul 07, 2005 at 08:13:55PM +0200, z3rosix@my-mail.ch wrote: > > sers, > > > > ich hab ein problem mit syslog-ng. Ich m=F6chte das er meine iptables > > drops in ein spezielles file (/var/log/iptables) logt. Daf=FCr markie= r ich > > alle gedropten pakete bei iptables mit "-j LOG --log-prefix "iptables= : " > > " > > Beim syslog-ng hab ich eine entsprechende destination, filter usw. > > konfiguriert: > > > > destination iptables { file("/var/log/iptables"); }; > > filter f_iptables { match("iptables:"); }; > > log { source(src); filter(f_iptables); destination(iptables); }; > > > > aus meiner sicht sieht eigentlich alles gut aus, nur irgendwarum land= en > > die drops immer noch in "/var/log/kern.log". > > ich hab die iptables regel auch schon ganz am anfang hingesetzt, weil > > ich gelesen hab das der ja nur einmal logt und dann w=FCrde es erkl=E4= ren > > warums in "kern.log" landet aber auch wenns ganz am anfang steht klap= pts > > nicht. > > > > > > Wei=DF jemand noch rat? > > > > > > thx im voraus > > > > > > greetz > > > > alex > > > > -- > > gentoo-user-de@gentoo.org mailing list >=20 > -- > gentoo-user-de@gentoo.org mailing list >=20 > --=20 gentoo-user-de@gentoo.org mailing list