[Sysadmins] iptables, ulog-acctd как писать информацию в разные файлы

[Sysadmins] iptables, ulog-acctd как писать информацию в разные файлы

[georg l k.]

а есть ли рекомендации по уменьшению параметра flush
то есть, чем чревато установка его в "0" или "10"
как это влияет на систему, не будет ли от уменьшения этого параметра 
косяков.


> georg l k. пишет:
>> Подскажите, как сделать так что бы из iptables через ulog-acctd писать 
>> информацию в разные файлы.
> 
> ulog-acctd этого не умеет
> 
>> то есть если я пишу
>> iptables -I INPUT -i $EXTINT -p tcp --dport 1723 -m state --state NEW -j 
>> ULOG --ulog-nlgroup 1 --ulog-prefix "PPTP ACCESS"
>> то в /var/log/ulog-acctd/account.log появляется нужная мне строчка.
>> (появляется с приличной задержкой после установки ppp-соединения. немогу 
>> сообразить почему...)
> 
> Потому что данные сбрасываются account.log с периодичностью, 
> определяемой параметром flush
> 
>> Можно но ли писать именно этот вызов из iptables например в 
>> /var/log/ppp/ulog-ppp.log
>> А в последствии, что то другое по -j ULOG отправлять в другой файл.
>> Не сваливать все в один файл....
>> Ясно что все крутится вокруг --ulog-nlgroup [1...32], но я так и не 
>> понял как в /etc/ulog-acctd.conf связать этот
>> [1...32] с его file= и format=
> 
> Вы поняли неправильно. multicast groups в ulog-acctd.conf - это и есть 
> та единственная группа, сообщения из которой будет слушать ulog-acctd, 
> направляя разобранный вывод в file= в формате format=. Соответственно, 
> чтобы писать в разные файлы из разных multicast groups, нужно запустить 
> несколько экземпляров ulog-acctd (с помощью daemontools?).
> 
> Правда, я не вижу в этом смысла. Я, например, загружаю записи в 
> реляционную БД (если нужно их различать еще на уровне iptables, то для 
> этого есть prefix), а дальше - простор для фантазии :)
> 
> -- 
> С уважением, Прокопьев Евгений

Re: [Sysadmins] iptables, ulog-acctd как писать информацию в разные файлы

[Eugene Prokopiev]

georg l k. пишет:
> а есть ли рекомендации по уменьшению параметра flush
> то есть, чем чревато установка его в "0" или "10"
> как это влияет на систему, не будет ли от уменьшения этого параметра 
> косяков.

Чем меньше значение параметра, тем, очевидно, больше нагрузка на 
дисковую систему. Можете попробовать, вероятнее всего, при не слишком уж 
большом трафике проблем не будет :) А при совсем небольшом, наверное, и 
ulogd с его прямой записью в БД сгодится ;)

Только вот зачем? Real-time billing c мгновенным отключением 
провинившихся? ;) Может посмотреть на netams? ulogd и ulog-acctd в 
комплекте с БД больше годятся для вдумчивого постанализа, когда заранее 
неизвестно, что захочется узнать ;)

-- 
С уважением, Прокопьев Евгений