[精讚] [會員登入]
76

[DNS] 把Named 產生的log放到遠端伺服器

把named的log放到log server以符合資安的需求。

分享此文連結 //n.sfs.tw/16378

分享連結 [DNS] 把Named 產生的log放到遠端伺服器@新精讚
(文章歡迎轉載,務必尊重版權註明連結來源)
2024-06-07 01:26:55 最後編修
2024-03-19 16:46:58 By 張○○
 

自動目錄

此例是把named的log放到logserver。

OS

CentOS Linux release 7.4.1708 (Core)   &&
Rocky Linux release 9.3 (Blue Onyx)

修改named.conf

named.conf 在options{} 後加上以下 設定[1]

logging {
.. <部分省略>
         channel lamer-log {
                 file "data/lamer-log" versions 3 size 100m;
                 severity info;
                 print-severity yes;
                 print-time yes;
                 print-category yes;
         };
         channel query-log {
                 file "data/query-log" versions 20 size 100m;
                 severity info;
                 print-severity yes;
                 print-time yes;
                 print-category yes;
         };
...
         category lame-servers { lamer-log; };
         category queries { query-log;};
 };

file "data/lamer-log" versions 3 size 100m;

此範例log檔會存在 /var/named/data/ 的目錄下,檔名會是 lamer-log、 lamer-log.0、 lamer-log.1 共存 3份,每份最大100mb循環寫入

重啟named

# service named restart

 

修改 rsyslog.conf

修改rsyslog.conf [3]

加入模組 imfile

CentOS Linux release 7.4.1708 (Core)

$ModLoad imfile

Rocky Linux release 9.3 (Blue Onyx)

module(load="imfile")

 

新增檔案 /etc/rsyslog.d/named.conf

input(type="imfile" File="/var/named/data/query-log" Tag="ddnss-querylog" Facility="local3" Ruleset="nreporter")
input(type="imfile" File="/var/named/data/lamer-log" Tag="ddnss-lamerlog" Facility="local3" Ruleset="nreporter")
ruleset(name="nreporter"){ action(type="omfwd" Target="192.168.53.147" Port="514" Protocol="udp") }

重啟 rsyslog

# service rsyslog restart

如此就能把LOGS 送到遠端的機器192.168.53.147中。

我是這樣想的,結果LOG SERVER一直沒有收到資料,原來是SELINUX的問題…

 

SELINUX

Selinux 如果不關掉的話,在啟動rsyslog時就會出錯[4]

python: SELinux is preventing in:imfile from read access on the file query-log.#012#012*****  Plugin catchall (100. confidence) suggests   **************************#012#012If you believe that in:imfile should be allowed read access on the query-log file by default.#012Then you should report this as a bug.#012You can generate a local policy module to allow this access.#012Do#012allow this access for now by executing:#012# ausearch -c 'in:imfile' --raw | audit2allow -M my-inimfile#012# semodule -i my-inimfile.pp#012

audit中的錯誤

type=AVC msg=audit(1710820132.783:14087335): avc:  denied  { getattr } for  pid=22562 comm="in:imfile" path="/var/named/data/query-log" dev="dm-0" ino=34444606 scontext=system_u:system_r:syslogd_t:s0 tcontext=system_u:object_r:named_cache_t:s0 tclass=file

AVC stands for Access Vector Cache. [2]

 

依上面的指示下指令

# ausearch -c 'in:imfile' --raw | audit2allow -M my-inimfile
# semodule -i my-inimfile.pp

查看

# audit2allow -a

#============= syslogd_t ==============
#!!!! This avc is allowed in the current policy
allow syslogd_t named_cache_t:file { getattr ioctl open read };

 

以上就能正確的將NAMED產生的LOG傳到LOG SERVER了。

 

參考資料

[1] BIND Queries log to Remote Syslog Server https://www.linuxquestions.org/questions/linux-server-73/bind-queries-log-to-remote-syslog-server-4175669371/

[2] https://wiki.gentoo.org/wiki/SELinux/Tutorials/Where_to_find_SELinux_permission_denial_details

[3] https://www.npartnertech.com/upload/Download/N-Partner_Linux_BIND(DNS)_syslog-TW-004.pdf

[4] https://access.redhat.com/documentation/zh-tw/red_hat_enterprise_linux/6/html/security-enhanced_linux/sect-security-enhanced_linux-selinux_contexts_labeling_files-persistent_changes_semanage_fcontext

 

 

END

你可能感興趣的文章

[Rocky9] 安裝docker 安裝docker

[Centos6] php5.3升級為php5.6 Centos6 + php5.6 升級

[Rocky9] 安裝SPHINX Search 3 支援中文 新版本的 sphinx 和舊版不同,網路上很多範例和教學是不能用的。此文是安裝和設定方法分享

[Centos7] 使用網路安裝 Centos7 使用網路來安裝Centos7,雖然這不是什麼新鮮事,但可以省你的磁碟空間或光碟片

[Centos] Linux mount 掛載檔案時的使用者和SELINUX和權限處理 linux下使用mount來掛載目錄或磁碟,我們一般會使用這樣的指令 # mount /dev/sdc1 /home/h

[Rocky9] 負載平衡器Haproxy安裝及設定 負載平衡器Haproxy安裝及設定,這次的範例是透過本機的一個埠背後連到數台資料庫伺服器。

我有話要說

>>

限制:留言最高字數1000字。 限制:未登入訪客,每則留言間隔需超過10分鐘,每日最多5則留言。

訪客留言

[無留言]

隨機好文

[jQuery] 利用load()來達成ajax的寫法 jQuery中利用load()來達成ajax的寫法,也有人稱他是假的ajax,作法就是..

安裝SPHINX支援中文 新版本的 sphinx 和舊版不同,網路上很多範例和教學是不能用的。此文是安裝和設定方法分享

[JAVA] JWS, JWT, JWE, JOSE是什麼? [JAVA] JWS, JWT, JWE, JOSE是什麼?非常的複雜,儘量來搞清楚..

維修冰箱 維修冰箱

問問題 問問題其實內涵很深,我悟了很久才懂。 有人問題的目的並不一定是想要得到答案,有時只是純粹想問問題..