Utilisation des fichiers journaux IP Filter

Tableau 5-4 Utilisation des fichiers journaux IP Filter (liste des tâches)

Configuration d'un fichier journal d'IP Filter

Par défaut, toutes les informations de journal IP Filter sont enregistrées dans le fichier syslogd. Il est recommandé de créer un fichier journal distinct dans lequel enregistrer les informations de trafic IP Filter afin de séparer ces données des autres données susceptibles d'être consignées dans le fichier journal par défaut.

Avant de commencer

Vous devez prendre le rôle root.

1. Déterminez quelle instance de service system-log est en ligne.

   # svcs system-log
   STATE          STIME    FMRI
   disabled       13:11:55 svc:/system/system-log:rsyslog
   online         13:13:27 svc:/system/system-log:default

   ---

   Remarque - Si l'instance de service rsyslog est en ligne, modifiez le fichier rsyslog.conf.

   ---

2. Ajoutez les lignes suivantes au fichier /etc/syslog.conf :

   # Save IP Filter log output to its own file 
   local0.debug             /var/log/log-name

   ---

   Remarque - Dans votre entrée, utilisez la touche de tabulation (et non la barre d'espacement), pour séparer local0.debug de /var/log/log-name. Pour plus d'informations, reportez-vous aux pages de manuel syslog.conf(4) et syslogd(1M).

   ---

3. Créez le fichier journal.

   # touch /var/log/log-name

4. Actualisez les informations de configuration du service system-log.

   # svcadm refresh system-log:default

   ---

   Remarque - Actualisez l'instance de service system-log:rsyslog si le service rsyslog est en ligne.

   ---

Exemple 5-16 Création d'un journal IP Filter

L'exemple suivant crée le fichier ipmon.log pour archiver les informations IP Filter.

Dans /etc/syslog.conf :

## Save IP Filter log output to its own file 
local0.debug<Tab>/var/log/ipmon.log

Sur la ligne de commande :

# touch /var/log/ipmon.log
# svcadm restart system-log

Affichage des fichiers journaux IP Filter

Avant de commencer

Vous avez effectué les étapes de la section Configuration d'un fichier journal d'IP Filter.

Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d’administration du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

• Affichez le fichier journal normal, le fichier journal NAT ou le fichier journal d'état.

  Pour afficher un fichier journal, tapez la commande ci-dessous, conjointement avec l'option adéquate :

  # ipmon -o [S|N|I] filename

  S

  Affiche le fichier journal d'état.

  N

  Affiche le fichier journal NAT.

  I

  Affiche le fichier journal IP normal.

  • Pour afficher le fichier journal normal et les fichiers journaux d'état et NAT, appliquez les options :

    # ipmon -o SNI filename

  • Après avoir arrêté le démon ipmon, vous pouvez utiliser la commande ipmon pour afficher les fichiers journaux d'état, NAT et IP Filter :

    # pkill ipmon
    # ipmon -a filename

    ---

    Remarque - N'utilisez pas la syntaxe ipmon -a si le démon ipmon est en cours d'exécution. Normalement, le démon démarre automatiquement à l'initialisation du système. L'exécution de la commande ipmon -a ouvre une seconde instance d'ipmon. Dans ce cas, les deux copies lisent les mêmes informations de journal, mais tout message du journal n'est reçu que par l'une d'elles.

    ---

  Pour plus d'informations sur l'affichage des fichiers journaux, reportez-vous à la page de manuel ipmon(1M).

Exemple 5-17 Affichage des fichiers journaux IP Filter

L'exemple ci-dessous présente la sortie du fichier /var/ipmon.log.

# ipmon -o SNI /var/ipmon.log
02/09/2012 15:27:20.606626 net0 @0:1 p 129.146.157.149 -> 
129.146.157.145 PR icmp len 20 84 icmp echo/0 IN

ou

# pkill ipmon
# ipmon -aD /var/ipmon.log
02/09/2012 15:27:20.606626 net0 @0:1 p 129.146.157.149 -> 
129.146.157.145 PR icmp len 20 84 icmp echo/0 IN

Vidage du tampon du journal de paquets

Cette procédure efface le tampon et affiche la sortie à l'écran.

Avant de commencer

Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d’administration du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

• Vidage du tampon de journalisation des paquets

  # ipmon -F

Exemple 5-18 Vidage du tampon du journal de paquets

L'exemple ci-dessous présente la sortie obtenue en cas de suppression d'un fichier journal. Le système génère un rapport même si le fichier journal est vide, comme dans cet exemple.

# ipmon -F
0 bytes flushed from log buffer
0 bytes flushed from log buffer
0 bytes flushed from log buffer

Enregistrement dans un fichier des paquets consignés

Vous pouvez enregistrer des paquets dans un fichier lors du débogage ou si vous souhaitez effectuer un audit manuel du trafic.

Avant de commencer

Vous devez prendre le rôle root.

• Enregistrez dans un fichier les paquets consignés.

  # cat /dev/ipl > filename

  Continuez la journalisation des paquets dans le fichier filename et interrompez la procédure en tapant Ctrl-C pour afficher de nouveau l'invite de ligne de commande.

Exemple 5-19 Enregistrement dans un fichier des paquets consignés

L'exemple ci-dessous présente les résultats obtenus lorsque les paquets consignés sont enregistrés dans un fichier.

# cat /dev/ipl > /tmp/logfile
^C#

# ipmon -f /tmp/logfile
02/09/2012 15:30:28.708294 net0 @0:1 p 129.146.157.149,33923 -> 
  129.146.157.145,23 PR tcp len 20 52 -S IN
02/09/2012 15:30:28.708708 net0 @0:1 p 129.146.157.149,33923 -> 
  129.146.157.145,23 PR tcp len 20 40 -A IN
02/09/2012 15:30:28.792611 net0 @0:1 p 129.146.157.149,33923 -> 
  129.146.157.145,23 PR tcp len 20 70 -AP IN
02/09/2012 15:30:28.872000 net0 @0:1 p 129.146.157.149,33923 -> 
 129.146.157.145,23 PR tcp len 20 40 -A IN
02/09/2012 15:30:28.872142 net0 @0:1 p 129.146.157.149,33923 -> 
  129.146.157.145,23 PR tcp len 20 43 -AP IN
02/09/2012 15:30:28.872808 net0 @0:1 p 129.146.157.149,33923 -> 
  129.146.157.145,23 PR tcp len 20 40 -A IN
02/09/2012 15:30:28.872951 net0 @0:1 p 129.146.157.149,33923 -> 
  129.146.157.145,23 PR tcp len 20 47 -AP IN
02/09/2012 15:30:28.926792 net0 @0:1 p 129.146.157.149,33923 -> 
  129.146.157.145,23 PR tcp len 20 40 -A IN 
.
.
(output truncated)