1

Наткнулся на непонятное поведение netfilter. Допустим, есть 4 сервера на centos6 настроенные абсюлютно аналогично. Первые два отсылают логи на третий, на третьем настроен postrouting (см. правила ниже) на четвёртый, четвёртый же просто коллекционирует их (на нём не настроен netfilter).

Странность заключается в том, что я вижу трафик syslog от первого (10.0.0.1) сервера по всей цепочке, но в то же время трафик второго (10.0.0.2) в полном объёме есть на третьем (192.168.0.5) сервере с postrouting, но он не перенаправляет его на четвёртый (192.168.0.6) и в iptables -nvL -t nat счётчики не инкрементируются на нём. Если быть точным, то перенаправляет только какие-то определённые сообщения syslog - auth.info , а, например, user.info перенаправлять не хочет. Но ведь это же бред, netfilter не занимается разбором уровня логгирования.

iptables-save третьего

    # Generated by iptables-save v1.4.7 on Fri Apr 27 14:31:48 2018
    *mangle
    :PREROUTING ACCEPT [113944481:33094585962]
    :INPUT ACCEPT [36662612:8817293771]
    :FORWARD ACCEPT [77275595:24276061507]
    :OUTPUT ACCEPT [20980539:14824196963]
    :POSTROUTING ACCEPT [98253790:39099771398]
    COMMIT
    # Completed on Fri Apr 27 14:31:48 2018
    # Generated by iptables-save v1.4.7 on Fri Apr 27 14:31:48 2018
    *filter
    :INPUT ACCEPT [0:0]
    :FORWARD ACCEPT [77275534:24276051904]
    :OUTPUT ACCEPT [20980520:14824192939]
    -A INPUT -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset 
    -A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP 
    -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT 
    -A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT 
    -A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT 
    -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT 
    -A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT 
    -A INPUT -p icmp -m icmp --icmp-type 30 -j ACCEPT 
    -A INPUT -i lo -j ACCEPT 
    -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
    -A INPUT -s 192.168.0.0/19 -j ACCEPT 
    -A INPUT -s 10.0.0.0/24 -j ACCEPT 
    -A INPUT -j REJECT --reject-with icmp-host-prohibited 
    COMMIT
    # Completed on Fri Apr 27 14:31:48 2018
    # Generated by iptables-save v1.4.7 on Fri Apr 27 14:31:48 2018
    *nat
    :PREROUTING ACCEPT [1068499:66961971]
    :POSTROUTING ACCEPT [653110:39701523]
    :OUTPUT ACCEPT [2512:193995]
    -A PREROUTING -s 10.0.0.1/32 -d 192.168.0.5/32 -p udp -m udp --dport 514 -j DNAT --to-destination 192.168.0.6:514 
    -A PREROUTING -s 10.0.0.20/32 -d 192.168.0.5/32 -p udp -m udp --dport 514 -j DNAT --to-destination 192.168.0.6:514 
    -A PREROUTING -s 10.0.0.2/32 -d 192.168.0.5/32 -p udp -m udp --dport 514 -j DNAT --to-destination 192.168.0.6:514 
    COMMIT
    # Completed on Fri Apr 27 14:31:48 2018
    # Generated by iptables-save v1.4.7 on Fri Apr 27 14:31:48 2018
    *raw
    :PREROUTING ACCEPT [113944408:33094574090]
    :OUTPUT ACCEPT [20980533:14824201419]
    -A PREROUTING -p dccp -j NOTRACK 
    -A OUTPUT -p dccp -j NOTRACK 
    COMMIT
    # Completed on Fri Apr 27 14:31:48 2018

Примеры дампов с третьего сервера [От первого к третьему]

    tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
    listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
    14:43:13.467236 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 112
    14:43:13.467249 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 112
    14:43:13.467252 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 112
    14:43:13.523133 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 89
    14:43:13.523133 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 89
    14:43:13.523142 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 89
    14:43:13.523144 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 89
    14:43:13.523317 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 79
    14:43:13.523317 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 79
    14:43:13.523326 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 79

[От второго к третьему]

    tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
    listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
    14:43:25.861971 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 112
    14:43:25.876292 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 134
    14:43:25.876292 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 134
    14:43:25.876512 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 90
    14:43:25.876512 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 90
    14:43:25.876680 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 78
    14:43:25.876680 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 78
    14:43:25.876857 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 85
    14:43:25.876857 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 85
    14:43:25.876993 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 98

1 ответ 1

1

Это не ответ на вопрос, а некоторые соображения.

Первое.

Очень трудно понимать и траблшутить сетевые вопросы не имея четкого представления о сетевой инфраструктуре. Сеть любит четкую схему. Пытаться понять из свободного повествования и полотен правил iptables-а, что там, куда и зачем - тяжело. Сомневаюсь, что кто-то будет сидеть, рисовать на бумажке хосты, айпишники, додумывать сетевое окружение и т.д.

Было бы гораздо легче, чтобы возникало меньше (либо вообще не возникало) дополнительных вопросов.

Для этого неплохо описать схему в виде:

host1 - ip.address.0.1
host2 - ip.address.0.2
и т.д.
Сети такие-то, маски такие-то, шлюзы такие-то.

Это описание уже даст вполне конкретное представление об инфраструктуре.

Но это так, к слову.

Второе.

Если ваша задача именно в сборе сислогов на конечном (четветром) хосте, а не практика по iptables, то я бы тут вообще не трогал сетевую часть, и "низкоуровневый" роутинг.

Всё это можно решить стандартным rsyslog-ом.

Первые два хоста отправляют логи в rsyslog третьего хоста, который в свою очередь выступает в качестве прокси, перенаправляя их в rsyslog четвертого хоста.

На третьем хосте в конфиге rsyslog надо прописать соответствующее правило, типа:

if $fromhost-ip=='a.b.c.d' then forward_to_another_host
2
  • По какой-то необъяснимой причине, третий сервер наутро передумал и начал роутить весь трафик от второго сервера... какой-то полтергейст.
    – who know
    28 апр 2018 в 5:24
  • @whoknow тогда можете смело удалять свой вопрос, т.к. он теперь не имеет смысла.
    – de_frag
    28 апр 2018 в 11:36

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.