[Запрос функции] Логи файервола совсем не помогают

[Запрос функции] Логи файервола совсем не помогают, wifiman

m.schoger

Guest

27.12.2023 11:39:00

Просматривая события в System Log -> Triggers, чтобы исправить некоторые проблемы с моим файрволом, я заметил, что отсутствует очень важная информация. Если пакет блокируется из-за срабатывания правила "deny all" в конце цепочки, то IP-адрес назначения и порт не отображаются в записи лога.

Я бы сказал, что эта информация крайне важна для создания осмысленных и точных правил для файрвола и для правильной отладки проблем. Было бы здорово, если бы мы могли видеть соответствующую информацию о пункте назначения в разделе "Destination" в подробном просмотре записи лога.

PhilS01 Guest	#2 10.04.2024 19:24:00 Спасибо — я волновался, что перенаправление логов куда-то ещё может повлиять на удобство использования на месте.

PhilS01 Guest	#3 10.04.2024 20:40:00 @_Space это действительно полезно — большое спасибо. Теперь я отправляю системный лог на сервер логов Synology.

_Space

Guest

10.04.2024 20:35:00

Надо было приложить эту фотографию. Даже при использовании внешнего syslog у меня всё равно появляются локальные сообщения уровня "info". Вот несколько последних срабатываний. Обнаружение угроз тоже отлично работает.

_Space

Guest

10.04.2024 12:07:00

В GUI добавлено довольно много логирования, и мне приятно видеть улучшения в интерфейсе. На данный момент сырые данные, по моему мнению, полезнее. Отправка данных в syslog никак не уменьшает то, что вы видите в GUI.

PhilS01 Guest	#6 10.04.2024 11:17:00 @_Space, спасибо — справедливое замечание. Попробую, интересно посмотреть, будет ли потеряна какая-то видимость через интерфейс.

_Space

Guest

10.04.2024 10:46:00

@PhilS01 зачем тебе больше одного лога? Если мне нужно предоставить файл поддержки, я просто прикладываю свои syslog-файлы за один и тот же день, и у меня с этим никогда не было проблем. @jb7593 Я написал скрипт на PowerShell, который парсит мои syslog-файлы и выводит список уникальных IP-адресов и количество их появлений. Например, если внешний IP пытается получить доступ к одному из моих порт-форвардов каждые 4 минуты, я легко вижу это, когда за 24 часа у него получается 3000 попыток, в отличие от одиночного сканера, который за день «просканировал» мой IP два раза.

PhilS01

Guest

10.04.2024 08:43:00

Я думал настроить это для сервера логов на моём Synology NAS, но, кажется, где-то читал, что платформа может логировать только в одно место — либо в удалённый syslog, либо в локальные логи. Возможно, я неправильно понял. Если это действительно так, я решил оставить логи там, где они есть, потому что посчитал, что их наличие в файле поддержки может пригодиться, если понадобится помощь. Если я всё правильно понял, было бы очень полезно иметь возможность делать и то, и другое. Пока не проверял эту теорию, так что могу ошибаться.

jb7593 Guest	#9 10.04.2024 08:31:00 Я хотел сделать такой же запрос на добавление функции. Я обошёл этот пробел, отправляя логи на сервер Graylog через настройки -> расширенные -> удалённое место для логирования, где видно, что детализация порта назначения собирается, но просто не отображается в текущем разделе системных логов -> триггеры.

Читают тему (гостей: 1)