---

Hejsa

Jeg har en nat server som logger alle nye connection gennem den via
iptables.

iptables -I FORWARD -m stats --state NEW -j LOG --log-prefix "NEW:"

Det virker fint nok men mit problem er at syslog ind i mellem "napper" det
foreste af linjerne af ala:

Sep 19 19:14:27 charlie kernel: .1.61.199 LEN=40 TOS=0x00 PREC=0x00 TTL=126
ID=18780 PROTO=UDP SPT=2098 DPT=27016 LEN=20

Det vil sige der mangler det første del af strengen der skulle være ala
denne

Sep 19 20:21:02 charlie kernel: NEW:IN=eth0 OUT=eth1 SRC=172.16.62.38
DST=10.0.1.128 LEN=48 TOS=0x00 PREC=0x00 TTL=126 ID=32544 DF PROTO=TCP
SPT=1436 DPT=30201 WINDOW=64240 RES=0x00 SYN URGP=0

Det skal siges den til tider skal logge MANGE linjer pr sek. Det største
antal er ca 3500 på 1 sek. Sådan som jeg ser det ligner det umiddelbart en
buffer overflow eller underrun af syslog.

Det er iptables version 1.2.7a

Syslogd og klogd 1.4.1

i syslog.conf ser det sådan ud:

kern.* -/var/log/kernel


Nogen der kan hjælpe ??????


/Lasse

---

On Fri, 19 Sep 2003 20:24:11 +0200, "Lasse B. Jensen"
<gymer@odense.kollegienet.dk> wrote:


>Det skal siges den til tider skal logge MANGE linjer pr sek. Det største
>antal er ca 3500 på 1 sek. Sådan som jeg ser det ligner det umiddelbart en
>buffer overflow eller underrun af syslog.

Mon ikke du selv har svaret på dit spm.

Den kan nok ikke følge med. Mere Ram eller hurtigere CPU/HDD eller
nedsæt antallet af linier. Det lyder da i øvrigt af vildt meget at
have 3500 loglinier/sec. Logger du alle indgående og udgående pakker ,
eller er du bare mailserver mv. for feks. TDC ????

Mon alle 3500 linier er interessante ??? , hvad med at kigge lidt på
det ??



Carsten

---

In news:8h6omvg34tojhvqn3gtn1jnnq41f7ngohm@4ax.com,
No@one.com <No@one.com> wrote:

> On Fri, 19 Sep 2003 20:24:11 +0200, "Lasse B. Jensen"
> <gymer@odense.kollegienet.dk> wrote:
>
>
>> Det skal siges den til tider skal logge MANGE linjer pr sek. Det
>> største antal er ca 3500 på 1 sek. Sådan som jeg ser det ligner det
>> umiddelbart en buffer overflow eller underrun af syslog.

> Den kan nok ikke følge med. Mere Ram eller hurtigere CPU/HDD eller
> nedsæt antallet af linier. Det lyder da i øvrigt af vildt meget at
> have 3500 loglinier/sec.

Det vil jeg give Carsten ret i...

Lyder som noget af et hardwarekrav med 3,5k linier i sekundet...

Du kunne evt. enten specificere logningen lidt så du ikke fik alt for meget
skralder med, eller smide -m limit på indtil der er noget mere hardware
bagved.

f.eks. er en loglinie ~192 bytes.. gange med 3500... det er "kun" ~656
kbyte/s... for logning! (det er lige før det er mere end hele mit system
hehe)

656kbyte * 60 * 60 * 24 = 55371MB/dagen... jeg må vist ha' regnet noget
forkert...

--
Venlig Hilsen
Michal