Forum Linux.général Logguer les connexions ssh sortantes

Posté par  .
Étiquettes : aucune
0
14
nov.
2005
Bonjour,

je cherche un moyen de logguer les connexions ssh sortantes (je ne m'intéresse qu'à celles sur un port 22 habituel).

En effet je viens de tester :
iptables -A OUTPUT -p tcp --dport 22 -j LOG
iptables -A OUTPUT -p udp --dport 22 -j LOG

mais je ne retrouve rien du tout qui s'y rattache dans mon fichier /var/log/syslog (sortie par défaut et active de mon LOG de iptables).

Quelqu'un a la bonne recette ? Merci.

  • # Gateway ?

    Posté par  . Évalué à 1.

    C'est sur une passerelle et tu veux logguer les connexions initiées depuis ton réseau local ? Si oui, il faut mettre ta règle de log dans la chaîne FORWARD.
    Et seul le port 22 en TCP est utile.
    Vérifie aussi que ta règle de log est bien *avant* la règle qui accepte le paquet.

    • [^] # Re: Gateway ?

      Posté par  . Évalué à 1.

      Ben disons que je voudrais le faire sur la machine qui initie la connexion. Donc c'est pour ça que je l'ai mis le INPUT.

  • # Règles précédentes ?

    Posté par  (site web personnel) . Évalué à 1.

    Est-ce qu'il n'y aurait pas une règle avant celles-ci, qui accèpte toutes les connexions sorantes ? Du genre :

    iptable -A OUTPUT -j ACCEPT

    Sinon, envoie-nous le résultat de :

    iptables -L -n -v

    • [^] # Re: Règles précédentes ?

      Posté par  . Évalué à 1.

      Euh je ne pense pas :

      Chain INPUT (policy ACCEPT 28M packets, 4567M bytes)
      pkts bytes target prot opt in out source destination


      Chain FORWARD (policy ACCEPT 2909K packets, 2145M bytes)
      pkts bytes target prot opt in out source destination


      Chain OUTPUT (policy ACCEPT 30M packets, 4884M bytes)
      pkts bytes target prot opt in out source destination

      0 0 LOG udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:22 LOG flags 0 level 4
      32 4094 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 LOG flags 0 level 4

      • [^] # Re: Règles précédentes ?

        Posté par  . Évalué à 1.

        Donc ça fonctionne ! T'as 32 paquets qui ont été loggés.
        Cherche avec dmesg ou dans /var/log/messages.

        (/etc/syslog.conf ou équivalent pour savoir où sont écrits les logs kern.*)

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.