FW Log

[gunnar]

Hallo,
ich hab meinen Internetzugang mit Rückkanal über Satellit und bastel seit einiger Zeit an einer Firewall (ipchains). Die Firewall läuft soweit, allerdings wird der Rechner extrem ausgebremst, weil über dvb0 tausende von nicht für mich bestimmte Pakete reinkommen und alle mitgeloggt werden. Meine Log-Datei wächst innerhalb weniger Minuten auf einige MB! Der Rechner ist nur noch mit dem Schreiben der Log-Datei beschäftigt.
Wie kann ich das verhindern??? Funktioniert es wenn ich jedes Paket, das nicht zu meiner IP passt durchlasse, das dürft doch nicht schaden - oder?
mfg Gunnar

[cli|<]

vielleicht wäre es gar keine sooooo schlechte idee wenn du posten würdest welche firewall du verwendest??

[tkortkamp]

cli|<: Les dir Gunnar's Beitrag nocheinmal aufmerksam durch, dann wirst du merken das er an seiner _eigenen_ Firewall bastelt.

[ratte]

damit beantwortet sich die frage durch umkehrung von selbst:

schalte das logging aus fuer alle ips, die nicht das ziel deines rechners als ziel haben.

um deine letzte frage zu beantworten: im prinzip ja, solange es keine broadcast oder multicast ip adressen sind (multicast verwirft der rechner, wenn nicht anders konfiguriert, sowieso).

ratte

[gunnar]

Die FW ist selbstgestrickt, weil ich nichts passendes gefunden habe. Die Verbindung zum ISP läuft über ppp0, baut eine VPN über ppp1 auf, Rückkanal über dvb0 und über eth0 hängt mein eigentlicher Rechner an diesem Gateway. Auf dem GW läuft ein Proxy, Mailserver, Nameserver usw.

Diese Lösung läuft nur mit einem alten 2.2-Kernel mit einem DVB-Beta-Treiber stabil. Deshalb benutze ich dafür eine alte SuSE6.4 mit selbstgebackenem Kernel. Demzufolge ist die FW mit ipchains aufgebaut.

@ratte: wie schalte das Logging für nicht für mich bestimmte IPs aus? Hab schon manpages studiert aber nichts passendes gefunden. Wäre für einen Tip dankbar.

Gunnar

[andi]

Hall Gunnar!

Ich hab nicht so viel Erfahrung mit ipchains. Anscheinend wird das logging aber vollständig vom syslogd übernommen.
Probier mal in der syslog.conf alle Zeilen mit kern.* auszukommentieren und stattdessen das selbe mit kern.=crit oder kern.!=info reinzuschreiben. Das sollte dafür sorgen, dass nur wichtige Nachrichten geloggt werden.
Es kann aber durchaus sein, dass bessere Lösungen für dein Problem existieren.

vg

[gunnar]

@andi: Würde ich dann nicht auch die Log-Eintragungen die meine IP betreffen rausschmeißen? Angenommen meine IP ist 123.456.100, ein Paket bestimmt für 123.456.789:123 wird von der FW abgewiesen (DENY), ein unerwünschtes Paket an mich 123.456.100:22 wird auch abgewiesen (DENY), beides wird aber in gleicher Form geloggt. Im Log möchte ich aber nur den 2. Fall sehen, keinesfalls das komplette Log abschalten.

Ich werde heute mal versuchen die nicht für meine IP passenden Pakete einfach durchzulassen und meine IPs (ppp0, ppp1, dvb0) über die FW zu filtern.

mfg Gunnar

[gunnar]

... jetzt läuft es hervorragend, alle IPs die nicht für mich sind werden einfach durchgelassen ...
Gunnar