Re: [gentoo-user-de] Re: Metalog Logverzeichnis erstellen

[Norman Rieß]

Boris Voelkle schrieb:

> Eigentlich will ich den kompletten Log von iptables verschieben, um das
> dann mit einigen Filtern auf Unterordner zu verteilen.
>
> [kernel] IN=eth0 OUT= MAC=xxxxxxxxxxxxxxxxxxxx SRC=xxx.xxxx.xxx.xxxx
> DST=192.168.xxx.xxx LEN=52 TOS=0x10 PREC=0x00 TTL=58 ID=2782 DF
> PROTO=TCP SPT=11175 DPT=xxx WINDOW=120 RES=0x00 ACK URGP=0
> Feb 24 12:25:18 [kernel] IN=eth0 OUT= MAC=xxx SRC=xxx DST=xxx LEN=100
> TOS=0x10 PREC=0x00 TTL=58 ID=2783 DF PROTO=TCP SPT=11175
> DPT=xxxWINDOW=120 RES=0x00 ACK PSH URGP=0
>
>
> Momentan läuft ja alles darein.
>
> Generell interessiert mich die Frage: Wie funktioniert nun die
> Gliederung unter Metalog.
> Nach man(uall) sollte es ja mit den im Eröffnungsthread genanten
> einträgen möglichsein, nach bestimmten Befehlen/ Programmen ein
> Log-Verzeichnis anzulegen, bzw. den Output in ein entsprechendes
> Verzeichnis zu leiten.
>
> Oder liegt mir da ein Stein im Weg ?
>
> BB
>
> Boris
>
>
> Iptables:
>   program_regex = "^iptables"
>  (bzw.: program = "iptables" )
>   logdir  = "/var/log/iptables"
>   break  = 1
>
Dein prgram-regex kickt hier leider nicht ein, da in den Logzeilen kein
"iptables" drinsteht. Du musst als regex irgendetwas finden, was immer
charakteristisch in dieser Zeile drinsteht.
Dazu kannst du auch erstmal festlegen, in welcher Facility der Log
liegt, Hier ist das "kernel". Also kannst du in deinem Metalogeintrag
facility = "kern" hinzufügen.
Ist zwar erstmal unsauber, aber du kannst versuchen als regex das
"IN=eth" zu nehmen, was ja warscheinlich in jedem iptables-Eintrag
vorhanden sein wird.

Jetzt logt das aber immernoch in die everything und kernel logs rein.
Also musst du überall im metalog, wo du das nicht drin haben willst ein
neg_regex = "IN=eth" reinschreiben.

Als Beispiel kopier ich hier mal meine Shorewall-Metalogeinstellungen rein.

Firewall:

  facility = "kern"
  minimum = 6
  regex = "Shorewall"
  logdir = "/var/log/firewall"

Everything important :

  facility = "*"
  minimum  = 6
  logdir   = "/var/log/everything"
  neg_regex = "Shorewall"

Kernel messages :

  facility = "kern"
  logdir   = "/var/log/kernel"
  neg_regex = "Shorewall"


Dasgilt für Zeilen:
Feb 24 11:10:22 [kernel] Shorewall:net2fw:DROP:IN=ppp0 OUT= MAC= SRC=xxx
DST=xxx LEN=60 TOS=0x00 PREC=0x00 TTL=52 ID=3907 DF PROTO=TCP SPT=xxx
DPT=xxx WINDOW=5840 RES=0x00 SYN URGP=0

Grüße
Norman
-- 
gentoo-user-de@l.g.o mailing list