Newsgroup: it.comp.os.linux.sys
Titolo: tcpd syslog e qpopper

Ciao a tutti.
Sul mio inetd.conf ho, normalmente, la riga
pop-3           stream  tcp     nowait  root    /usr/sbin/tcpd
     /usr/sbin/in.qpopper -f /etc/qpopper.conf
Grazie alla quale, tra le altre cose, mi ritrovo nel syslog una riga per 
ogni connessione al pop server.
Cosiderato che in ogni caso il qpopper crea le sue righe nel syslog vorrei 
evitare quelle del tcpd.
Visto che il firewall consente connessioni al pop solo dalla rete locale 
pensavo di non usare il tcpd per il qpopper, vedete delle 
controindicazioni?
In alternativa pensavo di modificare syslog.conf ma cosi' facendo mi perdo 
tutti i log del tcpd giusto ? Tra l'altro quale e' la facility usata da 
tcpd ?
Ho detto delle vaccate ?
 
--  
Stefano L.

Il giorno Tue, 8 Jul 2003, Stefano L. così ha scritto:
|Ciao a tutti.
|
|Sul mio inetd.conf ho, normalmente, la riga
|
|pop-3           stream  tcp     nowait  root    /usr/sbin/tcpd
|     /usr/sbin/in.qpopper -f /etc/qpopper.conf
|
|Grazie alla quale, tra le altre cose, mi ritrovo nel syslog una riga per
|ogni connessione al pop server.
|
|Cosiderato che in ogni caso il qpopper crea le sue righe nel syslog vorrei
|evitare quelle del tcpd.
|
|Visto che il firewall consente connessioni al pop solo dalla rete locale
|pensavo di non usare il tcpd per il qpopper, vedete delle
|controindicazioni?
  Allora, ancora prima del firewall, puoi restringere le connessioni in
ingresso a qpopper usando i file /etc/hosts.{allow,deny}, in genere si mette
la riga "ALL: ALL" in hosts.deny per poi autorizzare esplicitamente i servizi
disponibili in hosts.allow, con, ad es.:
qpopperd: 
192.168.1.0/255.255.255.0
^^^^^^^^
Non so come si chiama il demone di Qpopper, controla tu.
  Poi, per quanto riguarda il logging, da man 8 tcpd leggo:
LOGGING
       Connections  that  are  monitored  by  tcpd  are  reported
       through  the  syslog(3)  facility.  Each record contains a
       time stamp, the client host  name  and  the  name  of  the
       requested  service.   The  information  can  be  useful to
       detect unwanted activities, especially when logfile infor-
       mation from several hosts is merged.
       In  order  to  find out where your logs are going, examine
       the syslog configuration file, usually /etc/syslog.conf.
|In alternativa pensavo di modificare syslog.conf ma cosi' facendo mi perdo
|tutti i log del tcpd giusto ? Tra l'altro quale e' la facility usata da
|tcpd ?
  Come risulta dalla pagina man, tcpd manda a syslogd righe di log
differenziate per servizio, quindi puoi facilmente discriminarle
/etc/syslog.conf.
|Ho detto delle vaccate ?
|
 MMUUUUU!!
  Sandro
-- 
Bellum se ipsum alet
       La guerra nutre se stessa
Livio, Ab urbe condita, XXXIV,9

 /etc/syslog.conf.
Su questo ho qualche dubbio, dice che scrive il nome del servizio richiesto, 
non che usa la relativa facility infatti in syslog.conf sia che metta:
*.*;auth,authpriv.none;mail.none        -/var/log/syslog
oppure:
*.*;auth,authpriv.none;mail.!info       -/var/log/syslog
mi becco comunque nel syslog una riga come la seguente:
Jul  9 14:20:05 mail in.qpopper[12140]: connect from 192.168.10.13
Mentre, invece, le righe seguenti fanno quello che voglio
mail.info
;mail.!warning         -/var/log/
mail.info
mail.warn                       -/var/log/mail.warn
mail.err                        /var/log/mail.err
mail.err                        -/var/log/mail.log
Dove sbaglio ?
-- 
Stefano L.

Il giorno Wed, 9 Jul 2003, Stefano L. così ha scritto:
|>   Allora, ancora prima del firewall, puoi restringere le connessioni in
|> ingresso a qpopper usando i file /etc/hosts.{allow,deny}
|
|Il fatto e' che in ogni caso il firewall c'e' ed e' a monte, per cui
|hosts allow e deny sarebbero un di piu' forse abbastanza inutile.
  Meglio essere al sicuro due volte che una volta sola.  Meglio imparare le
buone abitudini.
|
|Su questo ho qualche dubbio, dice che scrive il nome del servizio richiesto,
|non che usa la relativa facility infatti in syslog.conf sia che metta:
|
|*.*;auth,authpriv.none;mail.none        -/var/log/syslog
|
|oppure:
|
|*.*;auth,authpriv.none;mail.!info       -/var/log/syslog
|
|mi becco comunque nel syslog una riga come la seguente:
|
|Jul  9 14:20:05 mail in.qpopper[12140]: connect from 192.168.10.13
  Direi che le righe che contengono: "*.*" nel campo "facility.priorita"
vogliono dire: registra nel log _tutto_.
|
|Mentre, invece, le righe seguenti fanno quello che voglio
|
|
mail.info
;mail.!warning         -/var/log/
mail.info
|mail.warn                       -/var/log/mail.warn
|mail.err                        /var/log/mail.err
|mail.err                        -/var/log/mail.log
|
|Dove sbaglio ?
"*.*"?


 vogliono dire: registra nel log _tutto_.
Vero. Ma da ''man syslog.conf'' leggo:
 
Multiple  selectors  may be specified for a single action using the 
semicolon (``;'') separa負or.  Remember that each selector in the selector 
field is capable to overwrite the preceding ones.  Using this behavior you 
can exclude some priorities from the pattern.
Quindi io interpreto la riga:
*.*;auth,authpriv.none;mail.!info       -/var/log/syslog
in questo modo
*.*  tutto tranne auth e authpriv qualunque cosa e mail nulla da info in su.
e la riga:
*.*;auth,authpriv.none;mail.none        -/var/log/syslog
in questo modo
*.*  tutto tranne auth, authpriv e mail
Boh !  Ci studiero' ancora.
-- 
Stefano L.

Il giorno Wed, 9 Jul 2003, Stefano L. così ha scritto:
|>   Direi che le righe che contengono: "*.*" nel campo "facility.priorita"
|> vogliono dire: registra nel log _tutto_.
|
|Vero. Ma da ''man syslog.conf'' leggo:
|
|Multiple  selectors  may be specified for a single action using the
|semicolon (``;'') separa­tor.  Remember that each selector in the selector
|field is capable to overwrite the preceding ones.  Using this behavior you
|can exclude some priorities from the pattern.
|
|Quindi io interpreto la riga:
|*.*;auth,authpriv.none;mail.!info       -/var/log/syslog
|
|in questo modo
|*.*  tutto tranne auth e authpriv qualunque cosa e mail nulla da info in su.
  No, vuol dire: tutto più auth tranne authpriv più mail fino a priorità .info.
Infatti, tra gli esempi di man 5 syslog.conf, ci sono queste righe:
 
kern.info
;kern.!err          /var/adm/kernel-info
[...]
       The fourth line tells the syslogd to save all kernel  mes-
       sages that come with priorities from info up to warning in
       the file /var/adm/kernel-info.  Everything  from  err  and
       higher is excluded.
[...]
              mail.*;mail.!=info           /var/adm/mail
       This pattern matches all messages that come with the  mail
       facility,  except  for  the  info priority.  These will be
       stored in the file /var/adm/mail.
|e la riga:
|*.*;auth,authpriv.none;mail.none        -/var/log/syslog
|
|in questo modo
|*.*  tutto tranne auth, authpriv e mail
  No, vuol dire: tutto più auth tranne authpriv più mail.
|Boh !  Ci studiero' ancora.
  Buon lavoro.


   Buon lavoro.
Risultati. (se&o)
1) tcpd se ne infischia di cosa sta' lanciando e scrive sul syslog con la
   facility _daemon_ e la priority _info_ 
2) Non sono daccordo sulla tua interpretazione della sintassi di syslog.conf
   anzi IMHO e' sbagliata.
3) IMHO sarebbe bello che si potesse specificare al tcpd quale _facility_ e
   magari quale _priority_ usare quando logga.
   Siete daccordo ? Qualcuno conosce lo sviluppatore di tcpd e gli dice due
   paroline in un orecchio ?  :)
Grazie Alessandro.
 
-- 
Stefano L.

  No, vuol dire: tutto più auth tranne authpriv più mail.
No, tutto tranne auth, authpriv e mail.
Guarda:
[1711][root@damun:~]$ grep all /etc/syslog.conf
*.*                                        -/var/log/all-log
[1711][root@damun:~]$ logger -p 
local2.info
 ciao
[1711][root@damun:~]$ tail -n 1 /var/log/all-log
lug 19 17:10:57 damun root: ciao
[1711][root@damun:~]$ vi /etc/syslog.conf
...
[1712][root@damun:~]$ grep all /etc/syslog.conf
*.*;local2.none                           -/var/log/all-log
[1712][root@damun:~]$ kill -HUP `cat /var/run/syslogd.pid `
[1712][root@damun:~]$ logger -p 
local2.info
 ciao
[1712][root@damun:~]$ tail -n 1 /var/log/all-log
Jul 19 17:12:28 damun syslogd 1.4.1: restart.
[1712][root@damun:~]$ vi /etc/syslog.conf
...
[1713][root@damun:~]$ grep all /etc/syslog.conf
*.*;local3,local2.none                    -/var/log/all-log
[1713][root@damun:~]$ kill -HUP `cat /var/run/syslogd.pid `
[1713][root@damun:~]$ logger -p 
local3.info
 ciao
[1713][root@damun:~]$ tail -n 1 /var/log/all-log
Jul 19 17:13:30 damun syslogd 1.4.1: restart.
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.