Newsgroup: it.comp.os.linux.sys
Titolo: File Log

Salve a tutti,
Sto cercando di mettere su iptables con qualche funzionalità di log, pero'
ho un problema nel senso che ogni minuto mi trovo nel file di log messages
le seguenti stringhe ripetute ogni minuto.
Mar 24 23:00:08 kaos kernel: IN=ppp0 OUT= MAC= SRC=192.168.100.1
DST=224.0.0.1 LEN=36 TOS=0x00 PREC=0xC0 TTL=1 ID=840 PROTO=2
Mar 24 23:01:08 kaos kernel: IN=ppp0 OUT= MAC= SRC=192.168.100.1
DST=224.0.0.1 LEN=36 TOS=0x00 PREC=0xC0 TTL=1 ID=2968 PROTO=2
Da quanto credo di aver capito 192.168.100.1 è il gateway della
telecom ma non capisco che tipo di pacchetti sta mandando all'indirizzo
224.0.0.1.
(che indirizzo è?). Il problema è che in questo modo mi riempie il file
messages fino a farlo diventare di parecchi mb.


 224.x.x.x mi pare molto un Multicast.
Maggiori info da chi ne sa di piu', pls.

 Maggiori info da chi ne sa di piu', pls.
Io no so poco di piu', ma provo a dire la mia.
Mi pare di aver capito che alcuni protocolli di routing utilizzino multicast
per lo scambio di informazioni tra router.
Se non si usano questi protocolli (per esempio si usa solo routing statico)
questi pacchetti si possono tranquillamente ignorare (almeno e' quello che
io sto facendo attualmente :-). Questo, ovviamente, a meno che non si usino
altre applicazioni basate su protocolli muticast.
--
Alessandro Staltari
staltari(a)
geocities.com


Puoi usare l'opzione limit per limitare il numero di messaggi per unita' di
tempo che vengono generati da una regola. Puoi creare una regola che
individua questi pacchetti e ne logga al massimo un tot all'ora, lasciando
una regola successiva per il log degli altri pacchetti (che comunque e' bene
che sia anch'essa limitata).
Esempio (non testato !-):
iptables -A myfilter -d 
224.0.0.0/240.0.0.0
 -m limit --limit 3/hour -j
LOG --log-prefix "Multicast packet received "
iptables -A myfilter -d ! 
224.0.0.0/240.0.0.0
 -m limit --limit 3/hour -j
LOG --log-prefix "Non-Multicast packet received "
--
Alessandro Staltari
staltari(a)
geocities.com

 > DST=224.0.0.1 LEN=36 TOS=0x00 PREC=0xC0 TTL=1 ID=840 PROTO=2
224.0.0.1 :  e' l'indirizzo multicast "all hosts"
PROTO=2   :  vuol dire che si tratta di un pacchetto IGMP, cioe'
             internet group management protocol
Quei pacchetti sono quasi sicuramente del tipo "membership query".
In pratica il signor 192.168.100.1 sta' urlando alla sua sottorete:
chi e' con noiiii! E tutti quelli che ascoltano su multicast urlano
in coro io, io, io... spesso senza sapere neanche il perche';) Quel
tipo traffico e' destinato a tutti gli host e non ai soli router: i
pacchetti destinati ai router hanno indirizzo 224.0.0.2.
Se tu non sai cosa e' multicast probabilmente non ti serve e quindi
anche se non rispondi con il tuo "io!" non cambia niente: scarta il
traffico senza loggare e vivi tranquillo. Giusto per chiarire, quel
traffico multicast deve essere visto come una feature (e importante
anche) della rete e non come una seccatura (es. stream multimedia).
Fabio

 anche) della rete e non come una seccatura (es. stream multimedia).
Dato che ci sono ti chiedo altre info, tra le funzionalità di log che ho
abilitato c'e' questa regola:
#logga tutto il resto
iptables  -A INPUT -i ppp0 -m limit --limit 15/minute -j LOG
per eliminare i log dei pacchetti IGMP inviati da 192.168.100.1 che stringa
dovrei inserire ?
Stavo pensando qualcosa come
iptables -A INPUT -i ppp0 -s 
192.168.100.1/32
 -d 
224.0.0.1/32
 -j DROP
Pero' in questo modo li scarto proprio, quello che vorrei fare e solo
non loggarli.


Allora usa
 iptables -A INPUT -i ppp0 -s 
192.168.100.1/32
 -d 
224.0.0.1/32
 -j ACCEPT
--
Alessandro Staltari
staltari(a)
geocities.com