Hi, On Wed, 19 Oct 2005 13:17:04 +0200 Raffael Schmid <raffael.schmid@yup.ch> wrote:

...

# iptables -vxnZL INPUT (Anzeigen der Byte-Counter und Rückstellen auf 0) tönt gut... aber:

dn1:~ # iptables -vxnZL INPUT Bad argument `INPUT' Try `iptables -h' or 'iptables --help' for more information.

Mist bei mir auch, ich hatte mich da auf die Manpage verlassen. Dann musst du -Z und -L hintereinander machen (wobei du natürlich möglicherweise ein paar Byte verlierst, da die beiden Aktionen nicht in eins ausgeführt werden): # iptables -vxnL INPUT # iptables -Z INPUT

dn1:~ # iptables -vxnL INPUT Chain INPUT (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 9232 723003 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 90 12678 ACCEPT udp -- eth1 * 0.0.0.0/0 0.0.0.0/0 state NEW,RELATED,ESTABLISHED udp dpts:137:138 3 984 DROP all -- eth0 * 0.0.0.0/0 255.255.255.255 0 0 DROP all -- eth0 * 0.0.0.0/0 213.196.133.255 0 0 DROP all -- eth2 * 0.0.0.0/0 255.255.255.255 71 8455 DROP all -- eth2 * 0.0.0.0/0 192.168.7.255 7868 638867 input_ext all -- eth0 * 0.0.0.0/0 0.0.0.0/0 0 0 input_dmz all -- eth2 * 0.0.0.0/0 0.0.0.0/0 0 0 input_int all -- eth1 * 0.0.0.0/0 0.0.0.0/0 0 0 LOG all -- eth1 * 0.0.0.0/0 213.196.133.5 LOG flags 6 level 4 prefix `SFW2-IN-ACC_DENIED_INT ' 0 0 DROP all -- eth1 * 0.0.0.0/0 213.196.133.5 0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 0 0 ACCEPT all -- * * 0.0.0.0/0 213.196.133.5

hoffentlich könnt Ihr das so lesen... Was mache ich falsch?

Hm, nix? Da steht doch schon alles drin?!? Allerdings recht verteilt, das kann aber schon sein, wenn man sich seine iptables nicht explizit zum "Traffic-Messen" eingerichtet hat (dann würde man wohl mit "iptables -N ACCEPT-count", "iptables -A ACCEPT-count -j ACCEPT" eine neue Table aufmachen und nur die auswerten. Statt "-j ACCEPT" kann man dann in allen anderen Regeln eben "-j ACCEPT-count" schreiben. Alternativ kannst du auch einfach die wichtigen Zeilen aus dem Ergebnis oben herausschneiden und summieren. Deine zweite Regel oben fängt ja den Samba-Traffic auf, wenn du also den analysieren willst, reicht dir ja diese Zeile. Ein warnendes cron-Skript sähe dann so aus: ---snip--- #!/bin/sh ADMINEMAIL=root@localhost TRAFFICMAX=5000000000 BYTECOUNT=$(iptables -vnxL INPUT | awk 'FNR==4 { print $2 }') iptables -Z INPUT if [ $BYTECOUNT -ge $TRAFFICMAX ]; then sendmail $ADMINEMAIL <<EOT Subject: Traffic Warning! Hi, wir haben mehr als $TRAFFICMAX bytes empfangen! . EOT fi ---snip--- kann man natürlich noch gut erweitern, aber so für die Idee schonmal... Gruß, -hwh

Moin, On Wed, 19 Oct 2005 14:16:54 +0200 Raffael Schmid <raffael.schmid@yup.ch> wrote:

...

Hm, nix? Da steht doch schon alles drin?!? Allerdings recht verteilt, das kann aber schon sein, wenn man sich seine iptables nicht explizit zum "Traffic-Messen" eingerichtet hat (dann würde man wohl mit "iptables -N ACCEPT-count", "iptables -A ACCEPT-count -j ACCEPT" eine neue Table aufmachen und nur die auswerten. Statt "-j ACCEPT" kann man dann in allen anderen Regeln eben "-j ACCEPT-count" schreiben.

Wenn ich das mache... was muss ich da genau an den tables ändern? Ich meine damit, muss ich die anderen Regeln auch ändern, damit die den Traffic noch durch ACCEPT-count leiten? Die Tables werden von SuSEfirewall2 erstellt...

Puh, keine Ahnung, ich bau meine iptables für gewöhnlich selbst. Ich würd's dann, wenn es so geht, einfach so lassen. Aber lies weiter unten...

...

Alternativ kannst du auch einfach die wichtigen Zeilen aus dem Ergebnis oben herausschneiden und summieren. Deine zweite Regel oben fängt ja den Samba-Traffic auf, wenn du also den analysieren willst, reicht dir ja diese Zeile.

ähm, es geht nicht um den Samba-Traffic.... sondern um den Gateway-Traffic. Der Server ist GW für ein Privates Netz, dass nur begrenzten Traffic ins Internet hat.

Hm, dann sind wir mit INPUT eh in der falschen Tabelle. Dann müssten wir uns FORWARD angucken. Und ich hab mich schon über den seltsamen Regelsatz in INPUT gewundert...

...

Ein warnendes cron-Skript sähe dann so aus: [...] Dieses Script werde ich sicher benützen:-D Danke! Aber das nimmt jetzt nur den Samba-Traffic, oder?

Genau, es macht folgendes (und du müsstest das für dich dann anpassen): in einer Variable (BYTECOUNT) wird der Traffic gespeichert. Das geht so: iptables gibt die Liste der Regeln in INPUT (bald FORWARD...) aus (-L, und zwar nur numerisch, -n, und in vollen Zahlen, -x, mit ausführlicher Anzeige, -v). Das kleine awk-script prüft, ob es in der 4. Zeile ist und falls dem so ist, gibt es das zweite "Feld" aus. Das ist bei iptables der Byte-Zähler. [ ... -ge ... ] checkt, ob der Wert links größer oder gleich (greater/equal) als der rechte ist - es ist also ein ">=". Der Rest macht nicht mehr, als einen heredoc-String in "sendmail" zu pipen. Insgesamt ein lustiger Bastelkasten, der mir mal wieder den Spaß am Skriptbasteln und man-Page lesen zurückgebracht hat... Gruß, -hwh

Hallo nochmals, da ich ja so mitteilungsfreudig bin... teile ich euch noch ein paar Gedanken mit: Ich habe jetzt FORWARD und INPUT zurückgesetzt: $ iptables -Z INPUT && iptables -Z FORWARD Danach habe ich mir beide ausgeben lassen: $ iptables -vnxL FORWARD && iptables -vnxL INPUT Da ich per SSH auf dem Server arbeite zeigt nun INPUT einen Traffic an aber FORWARD nicht. Also muss ich an INPUT messen, da ich ja den Upstream auch zahlen muss. Aber, wenn ich nun INPUT messe, dann messe ich den ganzen LAN-Traffic (samba, ping, dhcp) auch. Das erhöht aber das Ergebnis um Bytes die ich gar nicht zahlen muss. --> Es muss eine Regel her, die wirklich nur das misst, was von eth0 <--> eth1, eth0 <--> eth2 läuft. Stimmt diese Überlegung? - Ich hoffe es...! Ich werde jetzt mal in dieser Richtung weiterprobieren:-P Ausser es kann mir gleich jemand sagen wie diese Regel aussieht:-D? Grüsse Raffael

Hi, Hans-Werner Hilse wrote:

...

Ich habe jetzt FORWARD und INPUT zurückgesetzt:[...] Danach habe ich mir beide ausgeben lassen:[...]

Da ich per SSH auf dem Server arbeite zeigt nun INPUT einen Traffic an aber FORWARD nicht.

Naja, dann hast du auch keine Routing-Situation: Du machst SSH nur im lokalen Netz und vom Server eine neue Verbindung nach außen. Da ist "FORWARD" nicht im Spiel, das wird nur bei Sprüngen von einem Interface zum anderen benutzt - also, wenn ein Paket durchgereicht wird.

ok, stimmt:-)

Mit "FORWARD" bist du also richtig. Dort schlagen sowohl ein- wie ausgehende Pakete auf, die geroutet werden. Nach der Tabelle, die du schon in der Mail hattest, wird da aber eh erstmal interface-abhängig auf nochmal andere Tabellen weitergeleitet.

Schau dir mal $ iptables -vnL an, dort wohl am ehesten die forward_*-Tabellen. Hab ich getan. Es gibt verschiedene Regeln für die Portforwardings (da könnte ich ja auch noch den Traffic an den verschiedenen Ports messen:-P).

aber es gibt bei jeder Tabelle folgendes: 0 0 ACCEPT all -- * eth0 0.0.0.0/0 0.0.0.0/0 state NEW,RELATED,ESTABLISHED 0 0 ACCEPT all -- eth0 * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED Also messe ich nun bei jeder Tabelle diese zwei Regeln mit meinem Script. Ich mache das per awk, das ist aber nicht sehr variabel, da ich bei einem neuen PF mein Script ändern muss.... Gibt es einen Befehl um mir nur gerade diese zwei Regeln anzeigen zu lassen? Folgender Befehl ist wohl nicht ganz das Gelbe vom Ei....? $ iptables -vnxL forward_int | grep ACCEPT | grep all | awk '{print $2}' && iptables -vnxL forward_ext | grep ACCEPT | grep all | awk '{print $2}' && iptables -vnxL forward_dmz | grep ACCEPT | grep all | awk '{print $2}' Grüsse Raffael --------------------------------------------------- #!/bin/sh ADMINEMAIL=raffael.schmid@yup.ch TRAFFICMAX=50000000000000 INPUT=(`iptables -vnxL forward_ext | awk 'FNR==8 { print $2 }'` `iptables -vnxL forward_ext | awk 'FNR==9 { print $2 }'` `iptables -vnxL forward _dmz | awk 'FNR==7 { print $2 }'` `iptables -vnxL forward_dmz | awk 'FNR==8 { print $2 }'` `iptables -vnxL forward_int | awk 'FNR==7 { print $2 }'` `iptables -vnxL forward_int | awk 'FNR==8 { print $2 }'`) BYTECOUNT=$((${INPUT[0]}+${INPUT[1]}+${INPUT[2]}+${INPUT[3]}+${INPUT[4]}+${INPUT[5]})) iptables -Z forward_ext iptables -Z forward_int iptables -Z forward_dmz echo "Total:" $((BYTECOUNT/1024/1024)) "MByte/s" if [ $BYTECOUNT -ge $TRAFFICMAX ] then `whereis mail | cut -d " " -f2` $ADMINEMAIL -s "Traffic Warning!" << EOT Achtung! Der aktuelle Datendurchsatz von heute betraegt $BYTECOUNT Bytes ($(($BYTECOUNT/1024)) KByte)! Damit wurde die erste Warnstufe von $TRAFFICMAX Bytes erreicht! EOT fi exit

Hallo, ich habe nun ein bischen herumprobiert und mittlerweile herausgefunden, dass "input_dmz","input_int" und "input_ext" den hereinkommenden Traffic an den einzelnen Netzwerkkarten messen. Wenn man diese Angaben zusammenzählt ergibt das das Ganze, oder? Also zählt nun mein Script die bytes von diesen Karten zusammen und je nach dem gibt es eine Mail. Wenn ich einen Denkfehler gemacht habe, schreibt mir doch das bitte:-P Die Rechnerei stimmt leider nicht ganz auf die Bytes genau, da zwischen den Abfragen immer Traffic entsteht... Danke für die Antworten! Grüsse Raffael ------------------------------------------------------- der Script, "leicht" abgeändert: dn1:~ # more traffic.sh #!/bin/sh ADMINEMAIL=raffi@yup.ch TRAFFICMAX=50000000 BYTECOUNT=$(($(iptables -vnxL INPUT | awk 'FNR==9 { print $2 }')+$(iptables -vnxL INPUT | awk 'FNR==10 { print $2 }')+$(iptables -vnxL INPUT | a wk 'FNR==11 { print $2 }'))) echo "input_ext:" `iptables -vnxL INPUT | awk 'FNR==9 { print $2 }'` echo "input_dmz:" `iptables -vnxL INPUT | awk 'FNR==10 { print $2 }'` echo "input_int:" `iptables -vnxL INPUT | awk 'FNR==11 { print $2 }'` iptables -Z INPUT echo "Total:" $BYTECOUNT if [ $BYTECOUNT -ge $TRAFFICMAX ] then `whereis mail | cut -d " " -f2` $ADMINEMAIL -s "Traffic Warning!" << EOT Achtung! Der aktuelle Datendurchsatz von heute betraegt $BYTECOUNT Bytes ($(($BYTECOUNT/1024)) KByte)! Damit wurde die erste Warnstufe von $TRAFFICMAX Bytes erreicht! EOT fi exit