Onderwerp: Logging naar STDOUT voor Gshield uitschakelen

Misschien zijn er wel wat mensen mee bekend, want gShield is echt een heel handig firewall programma wat iptables aanstuurt.

Anyway, het probleem is dat deze net als Shorewall de irritante eigenschap heeft ook alles naar stdout te loggen. Dus zit je lekker console te werken en de firewall houdt wat dingen tegen, dan krijg je die regels over je scherm heen, hetgeen bijzonder onprettig is, zeker als je net een bestand zit te editten.
En dat dus ongeacht welk consolescherm je gebruikt.

Voor Shorewall onder Debian vond ik deze oplossing:

Edit /etc/init.d/klogd
Add this line: KLOGD="-c 4"

Maar ik draai met Centos 4.x en bij mij bestaat geen klogd in de init.d, alleen in de /sbin maar dat is een binairie dus niet te editten op genoemde manier.

Is er iemand die weet hoe ik dit wel kan uitzetten? Desnoods in het gShield.rc script iets aanpassen?

Staat bij CentOS in /etc/sysconfig/syslog

Harstikke bedankt.
Daar staat nu het volgende:
KLOGD_OPTIONS="-x"

Daar moet ik dus van maken:
KLOGD_OPTIONS="-x -c 4" of moet het worden KLOGD_OPTIONS="-xc 4"?

Helaas, het heeft niet mogen helpen.
Er staat nu KLOGD_OPTIONS="-x -c 4" en ik heb de server nieuw gestart wegens een kernel update, maar nog steeds vliegen de iptables gegevens me over het scherm.
Heb ik het fout gedaan dan?

Ik heb overigens geen KDE of zoiets draaien, alleen console mode.

Het is niet firehol die dat doet, maar je syslog. Je hebt hier een configuratiebestand voor, waarschijnlijk /etc/syslog.conf. Daar staat waarschijnlijk het volgende:

kern.* /dev/console

Als je daar een # voor zet krijg je geen berichten meer op de console.

Je kunt de logging verder instellen met FIREHOL_LOG_LEVEL="debug" .

Ik heb geen firehol, degene die de meldingen veroorzaakt is gShield, een firewallscript wat iptables aanstuurt.
Je ziet ook op elke regel staan [gShield] datum/tijd (default block) ip adres etc.

De syslogconf heb ik bekeken, daar staat het volgende in:

#kern.* /dev/console
*.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv.* /var/log/secure
mail.* -/var/log/maillog
cron.* /var/log/cron
*.emerg *
uucp,news.crit /var/log/spooler
local7.* /var/log/boot.log

En zo ziet m'n syslog (in /etc/sysconfig) er momenteel uit:

# Options to syslogd
# -m 0 disables 'MARK' messages.
# -r enables logging from remote machines
# -x disables DNS lookups on messages recieved with -r
# See syslogd(8) for more details
SYSLOGD_OPTIONS="-m 0"
# Options to klogd
# -2 prints all kernel oops messages twice; once for klogd to decode, and
# once for processing with 'ksymoops'
# -x disables all klogd processing of oops messages entirely
# See klogd(8) for more details
KLOGD_OPTIONS="-x -c 4"

Dus gShield stuurt de gegevens naar STDOUT, dit staat in de gShield config file:

# Set SYSLOG to "true" below
# if you wish gShield to also
# log to the system log; otherwise
# gShield will log to STDOUT.

# this option is for the various
# messages gShield produces when
# starting up, NOT iptables-specific
# logging (which is handled by
# syslogd itself).

# Again, this options has NOTHING
# to do with logs which are generated
# by dropped packets

De true of false setting bepaald alleen of er naar de systemlog geschreven wordt ja dan nee, dus volgens mij kiept ie de output sowieso toch altijd ook naar STDout en dat wil ik dus niet, althans niet van gShield.
Gewone foutmeldingen die je op de console ziet etc. zou ik wel graag houden als dat kan.

Misschien kun je met de aanvulling van deze gegevens iets meer?

Oorspronkelijk geplaatst door Blacky

Ik heb geen firehol, degene die de meldingen veroorzaakt is gShield, een firewallscript wat iptables aanstuurt.

Ah sorry. Ik heb zelf voor Firehol ook gShield gehad, vandaar. gShield is inderdaad een mooi script, maar Firehol is nog beter. Als je dat eenmaal hebt gebruikt wil je niets anders meer.

Probeer het eens met -c 3 of

# Stop logging to the console
kernel.printk = 3 4 1 7

in je sysctl.conf

Ja gShield gebruik ik omdat ik heel veel gebruik maak van port-forwardings en daar is het super geschikt voor.
Maar als jij dat ook eerst gebruikt hebt en nu firehol gebruikt, zal ik dat zeker eens gaan bekijken, want de ontwikkeling van gShield gaat niet echt meer verder sinds een aantal jaren. Bedankt voor de tip!
Ik neem aan dat firehol niet naar console spammen doet?

Probeer het eens met -c 3

In /etc/sysconfig/syslog onder klogd neem ik aan?

kernel.printk = 3 4 1 7

Oke thanks ga ik proberen. Beetje domme vraag misschien, maar hoe herstart ik die laatste zodat die sysctl wijziging wordt overgenomen?

Oorspronkelijk geplaatst door Blacky

Ja gShield gebruik ik omdat ik heel veel gebruik maak van port-forwardings en daar is het super geschikt voor.

Ik weet het, maar Firehol is nog handiger. Je moet je er even in verdiepen hoe het werkt, maar als je het snapt dan heb je met een configuratie van een paar regels een server veilig, en kost elke rule die je wilt hebben maar een enkele regel.

Ik neem aan dat firehol niet naar console spammen doet?

gShield doet dat ook niet, het is iptables die dingen naar de syslog stuurt, deze zet ze door naar de console.

In /etc/sysconfig/syslog onder klogd neem ik aan?

Zelfde plek waar je nu die -c 4 had staan

Oke thanks ga ik proberen. Beetje domme vraag misschien, maar hoe herstart ik die laatste zodat die sysctl wijziging wordt overgenomen?

echo "3 4 1 7" > /proc/sys/kernel/printk

Mooi, dat laatste ga ik morgen nog effe proberen want boven ligt al iedereen een paar uur op een oor, anders maak ik die wakker.
De eerste optie van syslog hielp in elk geval niet.

gShield doet dat ook niet, het is iptables die dingen naar de syslog stuurt, deze zet ze door naar de console.

Ahzo, dus onderstaand stukje code van gShield doet verder niets anders dan zorgen dat er op het scherm en in /var/log/messages [gShield] voor de logentry komt te staan?

Code:

#-- Internal variables
DTE=`date`
VER=$(cat $FW_ROOT/gShield-version)
MYNAME=`basename $0`
LOGGER="logger -t $MYNAME[$$]"
SW2=$2

# Log function
SYSLOG() {
        if $SYSLOG; then
                $LOGGER "$*"
        else
                echo "[gShield] $*"
        fi
}

Dit vond ik ook nog:

# Additionally, you can specify at what level gShield
# sends logging information to syslog. The default
# should work fine for most folks, but if you want
# to alter this, see the man page for syslog.conf

# NOTE: iptables 1.2.3 prefers this numeric

LOG_LEVEL="1"

Stond eerst dacht ik op 3, maar op 1 zetten hielp ook niet, dus iptables kiept hem naar /var/log/messages en tevens naar console als ik het goed begrijp? Da's minder.
Vroeger in de oude Redhat versies had ik hier nooit last van met gShield.

Jammer overigens van Firehol, lijkt me toch wat beperkt, slechts 1 configfile en weinig opties zo te zien, ik zag zo vlug bijv. geen mogelijkheid om portforwardings te maken op basis van inkomend ip adres op een makkelijke manier, dus ik denk dat ik nog wel effe bij gShield blijf.

Oorspronkelijk geplaatst door Blacky

Jammer overigens van Firehol, lijkt me toch wat beperkt, slechts 1 configfile en weinig opties zo te zien, ik zag zo vlug bijv. geen mogelijkheid om portforwardings te maken op basis van inkomend ip adres op een makkelijke manier, dus ik denk dat ik nog wel effe bij gShield blijf.

Als je graag hele ingewikkelde configuraties wilt hebben verspreid over meerdere configuratiebestanden moet je Firehol inderdaad niet nemen. Hier de configuratie voor een webserver (eth0 voor WAN, eth1 voor LAN).

TRUSTED="IP1 IP2 IP3"
# Niet gestest, maar uit de handleiding, poort forward op poort 80:
nat to-destination 192.168.0.2 proto "tcp" dport "80" dst 100.100.100.100/32

# Configuratie voor de internet interface
interface eth0+ internet
policy drop
protection strong
# ping, http en https beschikbaar voor iedereen
server "ICMP ping http https" accept
# pop / imap alleen voor IP's die we vertrouwen
server "pop3s pop3 imaps imap ssh" accept src "${TRUSTED}"
client all accept

# Configuratie voor de LAN interface
interface eth1 lan src "192.168.1.0/24"
policy reject
# ICMP, SSH en MySQL open
server "ICMP ssh mysql" accept
client all accept

Thanks maar voor standaard dingen zoals webserver en ssh enzo is gShield ook makkelijk, ik vindt die tekstbestandjes voor de config ook makkelijk uitgelegd en eenvoudig in te stellen. En ik moet echt diverse port-forwardings hebben op basis van inkomend ip adres.

Anyway, om terug on-topic te komen, helaas heeft dit ook niet geholpen:

echo "3 4 1 7" > /proc/sys/kernel/printk

Dus als er nog ideeën zijn hoor ik ze graag.

OPGELOST!
Na de aanpassing in sysctl.conf gewoon het commando "sysctl -p" geven in de console en het probleem is voorbij zonder opnieuw te hoeven opstarten.

Er schijnt nog een andere methode te zijn voor de geinteresseerden, dit vond ik op internet:

Hi,

you could also modify the log statement of iptables using the options
--log-level level
Level of logging (numeric or see syslog.conf(5))
--log-prefix prefix
Prefix log messages with the specified prefix; up to 29 letters long,
and useful for distinguishing messages in the logs.

Use log-level 7 and assign a log-prefix of your choice. The high
log-level will already prevent the logs appear on the console with the
default dmesg setting of 4.

Then use syslog-ng instead of klogd/syslog to filter the logs on the
log-prefix and define a destination to the tty of your choice.

Het zoeken op google naar iptables+log+console i.p.v. hetzelfde maar dan met gShield i.p.v. iptables deed wonderen.
Nogmaals hartstikke bedankt voor alle hulp alhier.