iptabels Logging

ramstein

sers zusammen,

ich habe seit frei tagen das Problem das mein KVM RS-S voll läuft.
"Irgend etwas" hat das Logging der Firewall aktiviert.

Iptables -S gibt unter anderem das aus:
-A INPUT -i eth0 -j LOG --log-prefix "BANDWIDTH_IN:" --log-level 7
-A FORWARD -o eth0 -j LOG --log-prefix "BANDWIDTH_OUT:" --log-level 7
-A FORWARD -i eth0 -j LOG --log-prefix "BANDWIDTH_IN:" --log-level 7
-A OUTPUT -o eth0 -j LOG --log-prefix "BANDWIDTH_OUT:" --log-level 7

Hat jemand eine Idee was dieses Logging aktivieren könnte ?
(ich habe die rules nun wieder entfernt)

RayMD

es wird halt alles geloggt, was bei eth0 rein, raus und weitergeleitet wird. Unnötig sowas eigentlich.

perryflynn

Die Log Einträge musst Du weiter spezifizieren.
Das ist aktuell kein Wunder, dass dir der Server voll läuft.

Würde nur all das loggen, was geblockt/rejected wird.
Aber selbst das ist eigentlich nicht nötig, auf dauer.

exii88

Ich glaube er möchte eher wissen woher diese Rules stammen könnten.

Er hat sie ja nicht selbst erstellt.

perryflynn

Tippe da mal auf irgendein Klicky-Bunti Tool wie Webmin oder Confixx/Plesk.

RHA

Macht Webmin eine Auswertung über den Traffic/die Bandbreite?

Hatte das Tool selber mal im Gebrauch, kann mich an so etwas aber nicht mehr erinnern.

ramstein
Man müsste mal wissen was so auf dem Server alles läuft, dann könnte man ggf. den Schuldigen finden.

ramstein

re,

ich habs gestern gefunden .... es war in der tat "webmin".
Besagte Regellogs wurden in den syslog.log, debug.log und den kernel.log geschrieben ..
Wer macht sowas? Bei einer Paketinstallation ohne Modifikation der Einstellungen, böse sowas.
3 Logfiles a 15GB Größe ... sauerei
Auf der Maschine ist ein apache, mysql, teamspeak3 ... sonst nix (mehr) ...

Seltsamerweise wurden diese Eintrage bei der Deinstallation (remove / purge) nicht vom System entfernt.
Es scheint mir etwas bugy zu sein das script unter wheezy.

Bleibt anzumerken das der KVM die Löschung von Daten zeitversetzt vornimmt, nach Löschung der Files
hat es beinanahe 5 Minuten gedauert bis der Platz wieder zur verfügung stand.

Man bekommt erst mal angst, wenn man auf der shell aufgrund von fehlendem Speicher nicht merh arbeiten kann

KB19

Zitat von ramstein

Bleibt anzumerken das der KVM die Löschung von Daten zeitversetzt vornimmt, nach Löschung der Files
hat es beinanahe 5 Minuten gedauert bis der Platz wieder zur verfügung stand.

Wenn die gelöschten Dateien noch irgendwo geöffnet waren (z.B. durch den Syslog-Daemon) ist das vollkommen normal

MfG Christian

Track1991

Das liegt dran das Linux nicht alles sofort auf die HDD schreibt wie es Windows tut.
Linux schreibt die Daten erst nach ein gewissen Zeit auf die HDD und auch nur wenn das System nicht gerade total ausgelastet ist.
Es gibt aber eine Ausnahme und zwar wenn man die HDD mit ~~dem Zusatz realtime formatiert~~ der Einbindungsoption sync ins System einhängt, dann werden die Daten sofort geschrieben oder man nutzt den Befehl sync in der Shell.

Daher sollte man ein Linux Rechner niemals den Strom einfach weg nehmen, weil es sonst zum Datenverlust kommt.

@killerbees19 Dran kann es natürlich auch liegen!

TPIT-Service

Zitat

Das liegt dran das Linux nicht alles sofort auf die HDD schreibt wie es Windows tut.

Linux schreibt die Daten erst nach ein gewissen Zeit auf die HDD und
auch nur wenn das System nicht gerade total ausgelastet ist.

Es gibt aber eine Ausnahme und zwar wenn man die HDD mit dem Zusatz
realtime formatiert, dann werden die Daten sofort geschrieben oder man
gibt den Befehl sync in der Shell ein.

Darf ich das mal irgendwo nachlesen?

KB19

Zitat von TPIT-Service

Darf ich das mal irgendwo nachlesen?

Siehe diverse Dokumentationen oder Beschreibungen der jeweiligen Dateisysteme, besonders ext3/ext4

MfG Christian

TPIT-Service

@killerbees19
Aha ok, aber ich brauche keine Formatierung realtime, es reicht der Eintrag sync in der /etc/fstab.

real-time kenn ich auch nur im Zusammenhang mit XFS, aber das ist sicherlich nicht gemeint, es sei denn das Dateisystem findet Verwendung.
Was ich einfach mal nicht annehme.

Track1991

Ich habe mich bei den Wort verschrieben und zwar heist es nicht realtime sondern relatime.

Siehe hier Difference between noatime and relatime mount options | Debian Ubuntu Linux Solutions Blog

Ja, man kann die Einbindungsoptionen jederzeit in der Datei /etc/fstab ändern.

Edit: Die Option sync ist für das sofortige Schreiben auf die Festplatte da (siehe Bild).