- Mitglied seit
- 28 Nov 2008
- Beiträge
- 1,080
- Punkte für Reaktionen
- 0
- Punkte
- 0
Hallo,
Ja, der "log deamon" ist eigentlich ein Konstrukt aus:
cat /dev/debug > / var/tmp/system.log &
und einem weiteren Script, das ebenfalls im Hintergrund läuft und alle 15 Sekunden die system.log verarbeitet und wieder leert.
z.Zt. sind 2 Filter drin: der eine filtert alle iptables Logs in eine separate Datei (z.B. auf dem Stick) und der andere nimmt den Rest (nachdem er alles was DECT und DCT heißt wegschmeißt) und schreibt es in die system.log im gleichen Verzeichnis, wie der Firewall log, ausserdem setzt sie die Zeitstempel ins Log.
Damit entgeht einem keine Systemmeldung mehr.
Natürlich haben die Scripte noch ein paar Sicherungen eingebaut, damit sie nicht mehrfach gestartet werden können und damit die RAM-Disk nicht vollläuft.
Ist auf der 7270 sehr praktisch, zumal die Loganzeige ausschliesslich die FW Einträge enthält und im UI verwaltet werden kann (Löschen, Archivieren...)
Insofern ist der AVM_PRINTK hier sogar von Vorteil.
Zum Aussperren, da sind so viele Sicherungen drin, es ist eher unwahrscheinlich, dass es jemand über das UI schafft, sich dauerhaft auszusperren.
Wenn das nicht reicht, kann man ja auch noch einen cron-job laufen lassen, der alle 5 Minuten schaut, ob auf dem USB-Stick eine bestimmte datei ist und dann die Firewall herunterfährt.
Wenn man wüsste, wie die Knöpfe funktionieren, könnte man ja auch noch die abfragen, und wenn sie länger als 30 Sekunden gedrückt werden, die Firewall abschalten oder irgend so was.
Ja, der "log deamon" ist eigentlich ein Konstrukt aus:
cat /dev/debug > / var/tmp/system.log &
und einem weiteren Script, das ebenfalls im Hintergrund läuft und alle 15 Sekunden die system.log verarbeitet und wieder leert.
z.Zt. sind 2 Filter drin: der eine filtert alle iptables Logs in eine separate Datei (z.B. auf dem Stick) und der andere nimmt den Rest (nachdem er alles was DECT und DCT heißt wegschmeißt) und schreibt es in die system.log im gleichen Verzeichnis, wie der Firewall log, ausserdem setzt sie die Zeitstempel ins Log.
Damit entgeht einem keine Systemmeldung mehr.
Natürlich haben die Scripte noch ein paar Sicherungen eingebaut, damit sie nicht mehrfach gestartet werden können und damit die RAM-Disk nicht vollläuft.
Ist auf der 7270 sehr praktisch, zumal die Loganzeige ausschliesslich die FW Einträge enthält und im UI verwaltet werden kann (Löschen, Archivieren...)
Insofern ist der AVM_PRINTK hier sogar von Vorteil.
Zum Aussperren, da sind so viele Sicherungen drin, es ist eher unwahrscheinlich, dass es jemand über das UI schafft, sich dauerhaft auszusperren.
- man kann nicht gleichzeitig Regeln ändern und das Regelwerk speichern.
- wenn man den Speichern Knopf drückt, hat man eine funktionierende Verbindung und die sollte man nach dem Reboot genauso wieder haben, da sich an den Regeln ja nichts ändert.
- es gibt den boot-delay (mit und ohne dsld wegen Sicherheit)
- es gibt die Option mit den Regeln auf dem Stick (abziehen und booten)
- Es gibt die safe admin Funktion, die automatisch für Regeln zum Admin-PC in allen Ketten bei jeder Regeländerung sorgt
- Es gibt zusätzlich die Option mit dem Auto-Run von scripten vom Stick (mit einem Rescue-Script, dass diie Firewall abschaltet.
Wenn das nicht reicht, kann man ja auch noch einen cron-job laufen lassen, der alle 5 Minuten schaut, ob auf dem USB-Stick eine bestimmte datei ist und dann die Firewall herunterfährt.
Wenn man wüsste, wie die Knöpfe funktionieren, könnte man ja auch noch die abfragen, und wenn sie länger als 30 Sekunden gedrückt werden, die Firewall abschalten oder irgend so was.
P.S. Ich wollte es ja eigentlich nicht erzählen, aber ich hab mich auch schon mal ausgesperrt. (Ich habe die NAT Funktion aufgerufen und habe, ohne eine Regel einzugeben, alle default Policies für NAT auf DROP gesetzt. Ich kam nicht mehr an die Box, weil nat
rerouting und Postrouting und Output ja in Serie zu filter:Input & Output sind. Ich kam nicht mehr zum Speichern der Regeln, da das Interface sofort blockiert war. Ein Reboot hat geholfen, denn die Regeln sind erst nach dem Speichern von Dauer.
rerouting und Postrouting und Output ja in Serie zu filter:Input & Output sind. Ich kam nicht mehr zum Speichern der Regeln, da das Interface sofort blockiert war. Ein Reboot hat geholfen, denn die Regeln sind erst nach dem Speichern von Dauer.
Zuletzt bearbeitet:
