iptables e log

Messaggio da **Bart** » mer 1 dic 2004, 20:51

Ciao, ho un piccolo problema con iptables.
 Praticamente vorrei loggare ogni connessione ssh che viene fatta al pc.
 Ho aggiunto quindi al mio firewall le due seguenti righe:
 iptables -A ppp_in -p tcp --dport 22 -j ACCEPT
 iptables -A ppp_in -p tcp --dport 22 -j LOG --log-prefix "Connessione SSH" (*)
 
 ppp_in è una nuova catena così creata
 
 iptables -N ppp_in
 
 e seguita dalla regola
 
 iptables -A INPUT -i ppp0 -j ppp_in
 
 Il firewall funziona. Ma non riesco a loggare le connessioni ssh. Cioè se vado in /var/log/messages non ottento alcun log "connessione ssh" anche se ho altri log che penso sia dovuti alla configurazione del sistema. Cosa può essere? La regola interessata è quella contrassegnata dall´asterisco, le altre le ho aggiunte solo per comprensione.

Messaggio da **useless** » mer 1 dic 2004, 21:45

prova a mettere le 2 regole al contrario

. suppongo - potrei sbagliarmi eh, non ho tempo di aprire il man - che ACCEPT sia un target terminating, che quindi inibisce il processo di regole successive. prima logga e poi accetta.

Messaggio da **Bart** » ven 3 dic 2004, 0:05

Ciao, le ho invertite ma non logga ugualmente.
 La cosa strana è che la riga di codice che permette l´accesso a ssh è corretta e a me sembra corretta pure quella che permette il log ma mentre la prima fa la seconda non logga niente. Sotto /var/log/messages mi ritrovo dei log ma non quelli relativi alla seguende istruzione.

Messaggio da **useless** » ven 3 dic 2004, 0:30

ma le connessioni sulla 22 le ridireazioni a quella catena?

Messaggio da **Bart** » ven 3 dic 2004, 10:54

no, ma in teoria non passano da lì? Ho provato anche con INPUT semplicemente ma il risultato è lo stesso.

Messaggio da **useless** » ven 3 dic 2004, 11:47

eh no, di default passano da INPUT!
 puoi ridirezionarle con iptables -I INPUT 1 -j ppp_in

Messaggio da **Bart** » sab 4 dic 2004, 21:56

Ciao,
 visto che quella catena (ppp_in) a me non serve un granchè ho deciso di eliminarla e ho riscritto le regole che riguardano il traffico in entrata:
 
 $IPT -t filter -A INPUT -i lo -j ACCEPT
 $IPT -t filter -A INPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
 $IPT -t filter -A INPUT -p tcp --dport 22 -j LOG --log-prefix "Connessione SSH"
 $IPT -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
 $IPT -t filter -A INPUT -j DROP
 
 Non so perchè ma continua a non loggarmi.
 Qualche idea sul perchè?

Messaggio da **useless** » dom 5 dic 2004, 13:06

$IPT -t filter -A INPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
 perché questa linea accetta la connessione prima della linea che dovrebbe loggare (e di fatto accetta TUTTE le connessioni in ingresso). togli NEW!

rulezz4 · Messaggio da **rulezz4** » lun 6 dic 2004, 0:45

Io so che i log dell´iptables vengono storati in /var/log/syslog io ho fatto un semplice scriptino che fa tutto lui e mi logga perfettamente le connessioni che effettuo e che vengono effettuate al mio ip in /var/log/syslog...prova a vedere quel file ciao

))
 
 p.s.: Prova in questo modo se nemmeno logga
 iptables -A INPUT -p tcp -i "INTERFACCIA" --dport "PORTA" -j REJECT --reject-with icmp-host-unreachable
 iptables -A INPUT -p tcp -i "INTERFACCIA" --dport "PORTA" -j LOG --log-prefix "PREFISSO"
 oppure
 iptables -A INPUT -p udp -i "INTERFACCIA" --dport "PORTA" -j LOG --log-prefix "PREFISSO"
 se vuoi loggare anche le connessioni UDP

[ Questo Messaggio è stato Modificato da: rulezz4 il 06-12-2004 00:49 ]

Messaggio da **Bart** » lun 6 dic 2004, 12:38

Grazie a tutti, ho fatto le modifiche consigliate. Appena posso faccio una prova da remoto e vi faccio sapere.
 Ciao