+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

В ВМ не работает логирование iptables., Proxmox Виртуальная Среда

gamera

Guest

22.12.2016 15:18:00

Привет, я использую правила iptables для логирования входящих и исходящих портов:
Code:
-A INPUT_LOGGING -m limit --limit 100/min -j LOG --log-prefix "iptables[INPUT] Dropped: " --log-level 7
-A OUTPUT_LOGGING -m limit --limit 100/min -j LOG --log-prefix "iptables[OUTPUT] Dropped: " --log-level 7.
На аппаратном сервере все в порядке, а в виртуальных машинах в syslog я не вижу этих логов. P.S. Эта проблема только в контейнерах, в виртуальной машине все нормально.

LnxBil Guest	#2 0 08.01.2017 19:19:00 На самом деле, я никогда не смотрел руководство, так что нет.

0a797182

Guest

16.12.2019 16:59:00

Привет! Абсолютно верно - ведение журнала iptables не работает в CT. Не имеет значения INPUT, OUTPUT или FORWARD. Конечно, правила учитывают заложенные пакеты, но в журнале (сообщения, kern, syslog и т.д.) ничего нет. Даже если настроить отдельный файл для журналирования, там тоже ничего не появится. Другие правила работают нормально (DROP, ACCEPT, REJECT для любой цепочки, но цель LOG не работает). Встроенная функция брандмауэра отключена. Надеюсь, разработчики PVE найдут этот случай интересным. pve-manager/6.0-9/508dcee0 (работающий ядро: 5.0.18-1-pve)

Chris Guest	#4 0 16.12.2019 17:16:00 Привет, пожалуйста, попробуй, работает ли вход с расширением NFLOG, которое мы используем для логирования в PVE фаерволе, см. http://ipset.netfilter.org/iptables-extensions.man.html

Chris

Guest

16.12.2019 17:30:00

Привет, если ваши пакеты маршрутизируются, то они не будут отображаться в цепочке ввода, а в цепочке пересылки. Посмотрите, например, http://linux-training.be/servers/ch08.html Попробуйте также зафиксировать пакеты в цепочке пересылки.

0a797182 Guest	#6 0 18.12.2019 17:02:00 Спасибо за совет, Крис! NFLOG работает как LOG — просто считает пакеты. Похоже, это связано с тем, что CT в моем случае не привилегирован. Спойлер Код: # cat /var/log/user.log Dec 18 17:40:13 hostname rsyslogd: imklog: не удается открыть журнал ядра (/proc/kmsg): отказано в доступе. # cat /proc/kmsg cat: /proc/kmsg: отказано в доступе # ls -la /proc/kmsg -r-------- 1 nobody nogroup 0 Dec 18 18:21 /proc/kmsg # id uid=0(root) gid=0(root) groups=0(root) # ps -f ax \| grep rsyslog \| grep -v grep root 4198 1 0 17:40 ? Ssl 0:00 /usr/sbin/rsyslogd -n -iNONE У вас есть идеи? Можно ли избежать этой проблемы и оставить CT не привилегированным? С уважением!

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры