natlog - Online în cloud

PROGRAM:

NUME

natlog - instrument de înregistrare sursă-nat

REZUMAT

natlog [OPȚIUNI] comandă

DESCRIERE

Firewall-uri ca iptables(1) oferă de obicei POSTRUTARE (traducere adrese de rețea sursă,
snat) facilități care schimbă adresa sursă a unei gazde din spatele firewall-ului la adresa
a gazdei înainte de firewall. Cu snat următoarele combinații de adrese IP și
sunt întâlnite numere de porturi:

o adresa IP și numărul portului utilizate de gazdă în spatele firewall-ului (în acest manual
pagina denumită IPsrc, sportiv);

o adresa IP și numărul portului gazdei IPsrc se conectează la (în această pagină de manual
referit ca IPdst, dport);

o adresa IP și numărul portului utilizate de gazda firewall-ului atunci când sursa de accesare
IPsrc și sportiv (în această pagină de manual denumită IPfw, fwport).

Sursa Natting folosește de obicei sportiv pentru fwport, Dar fwport poate fi deja în uz, în care
în cazul în care gazda firewall-ului trebuie să utilizeze un alt port disponibil pentru a redirecționa comunicarea
IPsrc, sportiv la IPdst, dport.

Prin urmare, schema generală care se aplică natării sursei arată astfel:

IPsrc:sport este tradus de firewall în IPfw:fwport;
IPfw:fwport este utilizat atunci când comunicați cu IPdst:dport.

Din perspectiva gazdei de destinație, comunicarea își are originea IPfw::fwport
și, în consecință, toate comunicările (de exemplu, și raportul de incident) trimise de sisteme
întreţinerea administratorului IPdst la IPfwadministratorul de sisteme se va referi la IPfw:fwport,
mai degrabă decât la IPsrc::sport.

Facilități standard de jurnal oferite de iptables nu ne permiteți ușor să relaționăm
IPfw:fwport la IPsrc:sport și natlog a fost dezvoltat pentru a umple acea nișă specială.

Când alergi natlog, mesajele sunt trimise către demonul syslog (de exemplu, rsyslogd(1)) și/sau
flux de ieșire standard care arată caracteristicile esențiale ale conexiunii folosind
sursa natting. Iată un exemplu:

NATLOG: (TCP) De la 1338990672:55588 până la 1338990747:807100:
192.168.19.72:4467 (prin: 129.125.90.132:4467) la 200.49.219.180:443

În acest exemplu valorile 1338990672:55588 și 1338990747:807100 reprezintă mărcile de timp
afișând orele de început și de sfârșit în secunde:microsecunde ale unei conexiuni TCP începând cu 1 ianuarie,
1970, 0:00 UTC. Natlog oferă --datetime opțiune, rezultând reprezentări de timp
ca noiembrie 2 13:29:11 mai degrabă decât reprezentări de timp folosind secunde și microsecunde.

Următoarea valoare (192.168.19.72:4467) reprezintă IPsrc::sport. Aceasta este urmată de
129.125.90.132:4467, reprezentând IPfw:fwport. A treia pereche de valori
(200.49.219.180:443) reprezintă IPdst:dport.

În acest exemplu, host 192.168.19.72, folosind portul 4467, conectat la gazdă 200.49.219.180,
port 443. Cu această din urmă gazdă, conexiunea părea să fi avut originea din
129.125.90.132 port 4467. Mesajul de jurnal furnizat ne permite cu ușurință să relaționăm acest lucru cu
gazdă „real” și portul de la care a provenit conexiunea: 192.168.19.72:4467.

Cand natlog se termină natlog nu mai poate urmări conexiunile care sunt încă deschise. Dacă
natlog a fost încheiat de a TERMEN ȚINTĂ semnal, apoi trimite o linie de „terminare” la syslog,
urmată de o prezentare generală a tuturor conexiunilor încă deschise. Valorile de sfârșit de microsecunde ale
conexiunile care nu mai sunt urmărite sunt afișate ca 0000.

COMANDE

o contratrack: această comandă poate fi folosită numai pe platforme care utilizează iptables(1) pe care
contratrack(1) a fost de asemenea instalat. Informații despre conexiunile legate de sursă
se obține din contratrackieșirea lui (1). Cu această comandă, TCP, UDP și ICMP
protocoalele de nivel patru pot fi monitorizate (în mod implicit, protocolul TCP este monitorizat).
Consultați și conttrack-command opțiune.

o dispozitiv dispozitiv extern: dispozitiv este numele dispozitivului din spatele firewall-ului.
Adresele care locuiesc în spatele dispozitiv sunt conectate la sursă la adresa IP a paravanului de protecție
când a fost transmisă la dispozitiv extern; dispozitiv extern este numele dispozitivului la care
pachetele source-natted sunt transmise, cq de unde răspunsurile pentru source-natted
gazdele care locuiesc în spatele dispozitiv sunt primite. În prezent, această comandă este numai
disponibil pentru urmărirea conexiunilor TCP.

OPŢIUNI

o --config=config-path (-c)
Argumentul config-path definește calea către fișierul de configurare care va fi utilizat de
natlog. În mod implicit, fișierul de configurare este așteptat în /etc/natlog.conf. Toate
opțiunile de configurare au valori implicite, care sunt utilizate atunci când nu există fișier de configurare și
nu sunt furnizate opțiuni de linie de comandă.

Toate opțiunile, cu excepția configurare, ajutor și prolix poate fi specificat și în
Fișier de configurare. Fișierul de configurare ignoră liniile goale și toate informațiile
pe liniile care încep cu un marcaj (#). În fișierul de configurare, numele opțiunilor fac
nu utilizați cratimele inițiale și pot fi imediat urmate de două puncte. Cu mai multe cuvinte
argumentele nu trebuie înconjurate de ghilimele. Exemple:

stdout
facilitate syslog: LOCAL0

Opțiunile din linia de comandă înlocuiesc opțiunile fișierului de configurare.

o --conntrack-command=cale [Opțiuni]
Calea și opțiunile către contratrack(1) program. În mod implicit, acesta este
/usr/sbin/conntrack -p tcp -E -n -o timestamp-ul -e NOU, DISTRUGE, rezultând:

- Monitorizarea protocolului TCP layer four;
- Afișarea jurnalelor de evenimente în timp real (-E);
- Afișarea mărcilor de timp (-o timestamp-ul);
- Înregistrarea tuturor evenimentelor noi și distruse (încheiate) (-e NOU, DISTRUGE);

Protocoalele de monitorizat pot fi configurate separat folosind --protocol opțiune.

contratrack programul trebuie să fie disponibil la cerere natlog'S contratrack comanda.
Protocoalele de nivel patru, altele decât TCP, UDP și ICMP, nu sunt acceptate în prezent. A
subsetul de protocoale acceptate poate fi solicitat folosind ale lui contrack -p tcp, -p udp
or -p icmp opțiuni.

o --conntrack-restart=max
Dacă procesul conntrack se termină prematur, cel mult este repornit max ori (acestea
sunt pure reporniri: pornirea inițială a conttrack nu este luată în considerare pentru această opțiune). De
implicit sunt permise 10 reporniri.

o --Ajutor (-h)
Scrieți informații de utilizare de bază în fluxul de ieșire standard și terminați.

o --no-daemon
În mod implicit, natlog rulează în fundal (un daemon). Natlog merge ca un obișnuit
program (adică, în prim-plan când opțiunea nu-daemon este furnizat). Când
alergând ca un demon, --stdout (vezi mai jos) este suprimată și --verbos mesaje
(vezi mai jos) sunt trimise la demonul sylog, cu excepția cazului în care --no-syslog a fost specificat.

o --no-syslog
În mod implicit natlog scrie mesaje syslog la DAEMON facilitate cu prioritate
ANUNȚ. Nu sunt trimise mesaje către demonul syslog când este specificată această opțiune.

o --pid-file=cale (-p)
Cand natlog rulează în fundal, atunci cale este numele căii fișierului
deținând codul de proces al demonului. În mod implicit, acesta este /run/natlog.pid. Pentru a pune capăt
daemon, trimiteți un semnal SIGTERM la id-ul de proces menționat în pid-file. Natlog
ignorările LUMEA semnale (dar scrie un mesaj de jurnal dacă a LUMEA întrerupere este
primit).

o --protocol=specificație (-P)
Protocoalele de monitorizat prin contratrack(1). În mod implicit conttrack-command monitorizează
Protocolul TCP de nivel patru. În prezent ale lui natlog contratrack comanda poate monitoriza TCP,
Protocoale UDP și ICMP de nivel patru. Folosind protocol opțiune (notă: singular!)
orice subset al acestor protocoale poate fi selectat prin specificarea unui punct separat de două puncte
subset de TCP, UDP și ICMP (de exemplu, --protocol udp:tcp). Caietul de sarcini toate poate să
poate fi utilizat pentru a monitoriza toate cele trei protocoale: TCP, UDP și ICMP.

În cazul în care conttrack-command este specificată opțiunea protocol opțiunea este ignorată.

o --stdout (-s)
Mesajele echivalente Syslog sunt trimise la ieșirea standard. Această opțiune este implicită
by --verbos, dar este suprimat când natlog rulează ca un demon..

o --facilitate-syslog=facilitate
Facilitatea care este utilizată pentru a scrie mesajele syslog. În mod implicit, acesta este
DAEMON. Pentru o prezentare generală a facilităților și a semnificațiilor acestora, a se vedea, de exemplu, syslog(3).
cu natlog facilitatile DAEMON, LOCAL0, LOCAL1, LOCAL2, LOCAL3, LOCAL4, LOCAL5,
LOCAL6, LOCAL7 și USER poate fi utilizat.

o --syslog-priority=prioritate
Prioritatea care este folosită pentru a scrie mesajele syslog. În mod implicit, acesta este
ANUNȚ. Pentru o prezentare generală a priorităților și a semnificațiilor acestora, a se vedea, de exemplu, syslog(3).
cu natlog pot fi utilizate toate prioritățile definite. De exemplu, EMERG, ALERTA, CRIT, ERR,
AVERTIZARE, ÎNȘTIINȚARE, Informație și REMEDIERE.

o --syslog-tag=etichetă
Când sunt generate mesaje syslog, acestea pot fi furnizate cu a etichetă, care poate fi
folosit pentru a filtra natlogmesajele syslog ale lui din fișierele jurnal. În mod implicit, eticheta
NATLOG este folosit. Vezi și secțiunea RSYSLOG FILTRU de mai jos.

o --timp=spec. (-t)
În mod implicit, marcajele de timp scrise de natlog sunt în formă brută, numerică. De exemplu,

NATLOG: de la 1338990672:55588 până la 1338990747:807100

Aceste mărci temporale indică timpii în secunde:microsecunde de la începutul
epoca, 1 ianuarie 1970, 0:00 UTC. Această opțiune poate fi folosită pentru a schimba secundele
parte din marcajele de timp la reprezentări mai convenționale.
Specifica crud (implicit) pentru reprezentarea implicită în secunde de la
epocă;
specifica utc pentru o reprezentare ca Iunie 6 13:29:11, folosind Timpul Universal
Coordonat;
specifica local pentru o reprezentare ca Iunie 6 13:29:11, folosind fusul orar local
definit de computerul care rulează natlog.

o --verbos
Mesaje suplimentare despre natlogmodurile de operare ale lui sunt trimise la standard
flux de ieșire. Când natlog rulează ca un daemon aceste mesaje sunt trimise la syslog
demon, dacă nu --no-syslog a fost specificat.

o --versiune (-v)
Scrie natlognumărul versiunii lui la fluxul de ieșire standard și se încheie.

o --a avertiza (-w)
Avertizați despre terminarea conexiunilor care nu sunt încă înregistrate în natlogbaza de date a lui. Acest
în mod normal, se întâmplă doar într-o perioadă scurtă de timp după pornire natlog, când există
conexiunile nu au fost încă observate.

RSYSLOG FILTRU

Atunci când se utilizează rsyslogd(1) filtrele bazate pe proprietăți pot fi utilizate pentru a filtra mesajele syslog și
scrieți-le într-un fișier la alegere. De exemplu, pentru a filtra mesajele care încep cu syslog
eticheta de mesaj (de exemplu, NATLOG) utilizare

:syslogtag, este egal, „NATLOG:” /var/log/natlog.log
:syslogtag, este egal, „NATLOG:” opriți

Rețineți că două puncte fac parte din etichetă, dar nu sunt specificate cu syslog-tag opțiune.

Acest lucru determină toate mesajele care au NATLOG: etichetă pe care să fie scrisă /var/log/natlog.log după
pe care acestea sunt aruncate. De asemenea, este acceptată o filtrare mai extinsă, vezi, de exemplu,
http://www.rsyslog.com/doc/rsyslog_conf_filter.html și
http://www.rsyslog.com/doc/property_replacer.html

EXEMPLE

Exemple de natlog activari:

o natlog --no-daemon --no-syslog -s tun0 eth0
Natlog rămâne activ ca proces în prim-plan, nu sunt scrise mesaje syslog,
mesajele echivalente syslog sunt scrise la ieșirea standard. Natlog folosește pcap
bibliotecă pentru a captura pachete din tun0 dispozitiv (de exemplu, un OpenVPN(1) dispozitiv), care
este activ în spatele firewall-ului și pentru a captura pachete din eth0 dispozitiv, care
este dispozitivul către care sunt trimise pachetele din sursă.

o natlog contratrack
În funcție de opțiunile specificate în /etc/natlog.conf (sau, dacă nu este disponibil,
natlogopțiunile implicite ale lui) sunt obținute conexiunile de la sursă contratrack(1).
În mod implicit natlog continuă ca un proces demon, generând mesaje syslog folosind
etichete syslog NATLOG:, și care conține informații despre conexiunile legate de sursă.

Aici este natlogfișierul de configurare implicit al lui. Linii goale și linii care încep cu
semnele hash (#) sunt ignorate. Opțiunile respectă următoarea sintaxă:

valoarea opțiunii

Opțiunea și valoarea sunt separate prin spațiu alb, se pot adăuga două puncte la numele opțiunilor,
iar valorile opțiunilor pot consta din mai multe cuvinte.
# Acest fișier de configurare arată valorile implicite ale opțiunii.

# toate opțiunile și valorile sunt sensibile la majuscule și minuscule
# vezi `man natlog' pentru mai multe detalii

# calea și opțiunile programului conttrack:
# când nu sunt specificate opțiuni de filtrare, tcp
# protocolul este monitorizat
# este afișată comanda implicită:
#conntrack-command: /usr/sbin/conntrack -p tcp -E -n -o timestamp -e NOU,DISTRUGERE"

# protocoalele care sunt scanate cu comanda „conntrack”:
# protocol: all - monitorizează tcp, udp, icmp
# protocol: udp:tcp - monitorizează upd și tcp (orice subset nevid,
# eventual includerea icmp este OK)
# ignorat când este specificată conttrack-command
#protocol: tcp

# eticheta implicită syslog:
#syslog-tag: NATLOG

# facilitate implicită syslog:
#syslog-facility: DAEMON

# prioritatea implicită syslog:
#syslog-priority: NOTIFICARE

# specificarea timpului:
#timp: crud

# calea către fișierul pid al procesului daemon al natlog
#pid-file: /var/natlog.pid

# sfârşitul fişierului de configurare

Utilizați natlog online folosind serviciile onworks.net