Aumentar o detalhamento de 'iptables' e determinar o local de log em um servidor baseado em CentOS?

Question

Ter um problema estranho aqui com relação ao proxy reverso não mais direciona o tráfego adequadamente em uma distribuição baseada no CentOS (ClearOS 6.2.x).

Acredito que seja um problema iptables ou qualquer outra coisa em que não vejo nada que indique o tráfego de entrada no meu /var/log/messages ou /var/log/system .

Como eu posso aumentar o iptables de verbosidade do registro e verificar o que está acontecendo com ele (em termos de certeza sobre onde os dados de registro estão sendo mantidos)?

    

Answer 1

Abaixo estão os passos gerais que eu tomei no passado para ativar o registro do iptables.

Modify Logging
- sudo vi /etc/syslog.conf
- kern.warning /var/log/iptables.log
 - sudo /sbin/service syslog restart
 - sudo vi /etc/logrotate.d/syslog
- If this file is already there, add /var/log/iptables.log to the first line
- If the file is not there, add it:

/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler /var/log/boot.log /var/log/cron /var/log/iptables.log {
    sharedscripts
    postrotate
        /bin/kill -HUP 'cat /var/run/syslogd.pid 2> /dev/null' 2> /dev/null || true
    endscript
}

Implement firewall rules
• sudo vi /etc/sysconfig/iptables.script
• sudo chmod 700 /etc/sysconfig/iptables.script
• sudo /etc/sysconfig/iptables.script

Dentro do meu script iptables, eu tenho todas as minhas regras genéricas de permissão no topo e depois na parte inferior eu tenho algumas regras de registro específicas. Abaixo estão alguns exemplos.

# Log dropped traffic
/sbin/iptables -A INPUT -j LOG -m limit --limit 10/m --log-level 4 --log-prefix "Dropped Traffic: "
# Log outbound traffic for anything not equal private ip ranges (this is defined in some previous rules)
/sbin/iptables -A OUTPUT -j LOG -m limit --limit 10/m --log-level 4 --log-prefix "Outbound Traffic: "
# Log traffic that doesn't hit a rule above (stuff that may be blocked in the future)
/sbin/iptables -A INPUT -j LOG -m limit --limit 10/m --log-level 4 --log-prefix "Potentially Dropped Traffic: "

Existem obviamente muitas coisas que você pode fazer com isso. Aqui é um bom link para algumas informações genéricas.

    

Answer 2

Você pode usar o destino '-j LOG' para registrar o pacote correspondente no log do sistema. Você também pode prefixar com qualquer string arbitrária.

Para ajudar na depuração do problema, você pode usar um sniffer de rede como o wireshark ou o tcpdump. Além disso, os contadores iptables podem ser uma boa fonte de informações em servidores menos ocupados, monitorando as alterações de uma determinada regra.

Você pode ver os contadores exatos com iptables -L -nvx .