Logs temps reel

[Tof]

bonjour,

Les logs sont un bon moyen de configurer les regles de firewall quand certaines applis du reseau tentent d'ouvrir des ports etc..
malheureusemnt, ipcop est un peu faible de ce coté la car l'onglet "journaux de parfeu" ne permet pas un affichage "temps reel" des logs.
En cherchant une solution a ce pb, j'ai trouvé un script qui pourrait pallier a ces inconvénients : firewall eyes http://firewalleyes.creabilis.com/
malheureusmnt, celui-ci , qui se base sur la lecture du fichier log, a besoin d'un format precis pour les analyser
il doit etre sous cette forme :

Code: Tout sélectionner

Sep 24 04:03:17 host kernel: RULE 16 -- DENY IN=eth1 OUT=eth2 SRC=192.168.0.10 DST=10.3.3.25 LEN=48 TOS=0x00 PREC=0x00 TTL=122 ID=45323 DF PROTO=TCP SPT=1549 DPT=80 WINDOW=8192 RES=0x00 SYN URGP=0


Or ipcop est configuré autrement (pas de RULE, differentes affichages comme INPUT, fcron,NEW not SYN? etc..) ce qui rend ce script incapable de lire correctement le fichier log
j'ai essayé de modifier le fichier syslog.conf afin d'obtenir un fichier log (different de "messages") pour recuperer uniquement des lignes au format correcte
mais la, mais competances linux ne sont pas suffisantes (j'ai meme pas reussi a redemarrer syslog, pas de dossier init.d dans ipcop..pas trouvé..enfin bref)

Donc je m'adresse a ceux qui connaisse suffisament ipcop pour savoir comment generer un fichier log sous la forme ci-dessus (et uniquement avec ces lignes)

[gemoussier]

Bonjour,
La page "journaux du pare-feu" est mise à jour en temps réel mais nécessite de rafraichir la page. Les logs en temps réels sont aussi accessibles depuis "journaux du système" (et notamment en choisissant "noyau" dans la liste).

Sinon les messages utilisant cette forme se trouvent dans /var/log/message.

edit : message modifié le 27 mai à 16h42

[Tof]

merci gemoussier mais ..
comme je le disais, les journaux affiché par ipcop sont quasi inexploitable en temps reel
ils commence systematiquement a 00h00 et, par exemple en fin de journée, il faut cliquer sur "plus recent" plusieurs centaines de fois (si on a beaucoup de traffic) avant d'arriver a l'heures actuelle
de plus, la presentation est tres pauvre comparé a firewalleyes

ma question n'est pas de savoir comment utiliser ipcop mais bien d'utiliser un programme plus performant d'analyse de log

d'ou ma question : comment configurer syslog pour obtenir un message de log compatible avec la forme ci-dessus ?

ps

Sinon les messages utilisant cette forme se trouvent dans /var/log/message.

c'est bien de ce fichier dont je parle plus haut : ya de tout dedans, je ne veux que les rules
c'est pour ca que je disais :

comment generer un fichier log sous la forme ci-dessus (et uniquement avec ces lignes)

[gemoussier]

Désolé j'ai mal lu,
Je ne sais donc pas comment générer un tel fichier.

En attendant de trouver une solution à votre besoin, voici une option intéressante :
menu "journaux" -> "configuration des journaux", cocher "classer par ordre chronologique inverse" et passer le "nombre de ligne par pages" à "500".

[Franck78]

Salut,
Des logs 'en temps réél', à travers le serveur web, c'est vraiment pas un truc efficace. A mon avis mieux vaut ouvrir un terminal sur IPCop (ssh) et s'arranger pour obtenir le log voulu 'en texte'.
C'est vrai que coté affichage spontané d'information sur ses consoles tty, IPCop est assez léger

[jdh]

+1 Franck78


Oui, pour les logs, le plus réactif est

- une 'tite session Putty (ou Kitty) sur l'IPCOP
- un "tail -f" sur /var/log/syslog (ou messages ?)


(Parmi les outils les plus efficaces sur des fichiers textes, il faut connaitre "awk" ...)

[zsunol]

Bonjour,

Sur certaines appliance genre Watchguard il existe un monitoring temps reel (5'' de refresh) qui est super pratique.

J'ai beaucoup cherché sur net, sans vraiment trouver qq chose de comparable ...


Dommage.

[Franck78]

Dommage.

? Domage ?

Il suffit de prendre son courage à deux mains, trouver la source des logs que l'on veut et travailler à ce niveau si possible. Sinon en attaque au niveau suivant, genre filtre avec 'awk', 'tail' et compagnie....

Ce qui domage, c'est d'attendre sans essayer de soi meme de pondre une solution !