LOG bei iptables

[divejbba]

Hallo,

ich habe schon versucht hier durch die SUFU Antworten auf meine Frage zu finden. Bisher jedoch nur negative Antworten, die auf das Jahr 2004 zurückgehen. Seitdem hat sich ja viel verändert, deswegen versuche ich es noch einmal.

Ich habe wie so viele ebenfalls einen vServer bei server4you und möchte meinen iptables-Paketfilter derart anpassen, dass das Loggen möglich ist.

Bspw.

$iptables -A INPUT -p tcp --dport 12345 -j LOG --log-level debug

Bisherige Antworten gehen immer davon aus, dass das notwendige Nachladen von Modulen aus Sicherheitsgründen nicht möglich ist (also mit Absicht von server4you unterbunden wird).

Gibt es eine Möglichkeit für das Loggen?


PS:

Serverdaten:

Servername xxxxxx
Produkt vSERVER Basic
Betriebssystem Debian Linux 3.1
Control-Panel Kein Controlpanel

 

[Mordor]

Moischen,
hatte das gleiche Problem vor einiger Zeit mit einem vServer von 1und1. Da hat sich dann auch rausgestellt, dass das Loggen hier nicht funktioniert. Ich glaube das liegt daran, dass der Kernel nichtso konfiguriert ist, dass man IpTables zum Loggen bringen kann.

Da ja der vServer an sich keineneignen kernelhat, sondern den des Hostsystems verwendet, dürfte es schwierig bis unmöglich sein, die Pakte nachzuinstalieren.

Gruß Mordor

 

[divejbba]

Richtig, das habe ich auch schon in den Postings von 2004 gelesen. Und da stand auch, dass sie das deswegen nicht erlauben, da man ja sonst auch eigene Module laden könnte.

Nur 1) könnte man genau das auch beschränken und 2) sehe ich keinen Grund warum das entsprechende Modul nicht dauerhalt in den Kernel können sollte (also eben nicht als nachladbares Modul).

Ich denke, dass es ein breites öffentliches Interesse dahingehend gibt, zu erfahren, wen, was, wie iptables irgenwo, irgendwann blockt oder durchlässt.

 

[LinuxAdmin]

Ich denke nicht, dass das Problem lediglich darin besteht, dass das Modul nicht geladen ist, sonder viel mehr darin besteht, dass es prinzipiell nicht gehen kann, auch wenn das Modul geladen wäre.
Wenn der Kernel auch diese Sachen loggen würde, würden alle Angaben im syslog des Host-Systems landen und nicht im syslog der virtuellen Systeme...
Schau Dir Deine Logs an: Du wirst nie auch nur eine einzige Meldung finden, die vom Kernel stammt ('dmesg' funktioniert ja auch nicht, da ja --wie ich vermute-- eine Aufteilung dieser Log-Daten auf die einzelnen VEs aus verschiedenen Gründen nicht implementiert ist).

Viele Grüße,
LinuxAdmin