Re: Customizando Iptables no rsyslog.

[Adiel de Lima Ribeiro <adiel.netadmin@gmail.com>]

Rodrigo, obrigado, sua dica me ajudou muito, ví algumas do tipo em outros fóruns mas incompletas, vou colocar abaixo como fiz para o meu funcionar, caso sirva para alguém...

Iptables: --log-prefix "iptables.

/etc/rsyslog.conf: 
Todas as opções dos outros campos estão comentadas, segue apenas o campo relevante da configuração:

# First some standard log files.  Log by facility.
#
:msg, contains, "iptables"      /var/log/iptables.log
& ~
auth,authpriv.*			/var/log/auth.log
*.*;auth,authpriv.none		-/var/log/syslog
#cron.*				/var/log/cron.log
#daemon.*			-/var/log/daemon.log
#kern.*				-/var/log/kern.log
#lpr.*				-/var/log/lpr.log
#mail.*				-/var/log/mail.log
#user.*				-/var/log/user.log
#kern.warning	-/var/log/iptables.log


On Wed, 2012-08-29 at 11:14 -0300, Rodrigo B Brasil wrote:
> Tu poderias utilizar a opção --log-prefix pra taggear o log. Por exemplo,
> se utilizares --log-prefix 'iptables: ' a filtragem no rsyslog poderia
> ficar assim:
>
> :msg, startswith, 'iptables :' /var/log/iptables.log
> & ~
>
> A linha "& ~" diz pro rsyslog que assim que alguma mensagem que encaixar na
> regra acima deverá ser filtrada e logo depois descartada. Então basta
> colocar essa regra antes da que filtra pro /var/log/syslog que ele irá
> somente escrever no /var/log/iptables.log.
>
> --
> Rodrigo Bezerra Brasil
> Belém, PA, BR
>
> "Intelligence is the ability to avoid doing work, yet getting the work
> done."
> [Linus Torvalds]
>
>
>
>
>
> 2012/8/29 Adiel de Lima Ribeiro <adiel.netadmin@gmail.com>
>
> > **
> > Pessoal, bom dia.
> > Estou precisando customizar os logs do iptables.
> > Até achei uma técnica que funciona, colocando o LOG --log-level 4 no
> > iptables e kernel.warning no /etc/rsyslog.conf, mas desse jeito ele
> > registra os logs do iptables no /var/log/iptables.log e no /var/log/syslog,
> > eu quero que registre apenas no /var/log/iptables.log
> > Também achei outra: Colocando no /etc/rsyslog.conf:
> > :msg, contains, "fw kernel". Mas também não funcionou.
> >
> > Alguém tem alguma dica ?
> > Obrigado.
> >

-- 
Adiel de Lima Ribeiro
facebook.com/sembr.dyndns.info