SDB:SuSEfirewall2 überflutet die Datei /var/log/messages

aus openSUSE, der freien Wissensdatenbank

Version: 9.2

Symptom

Die Datei /var/log/messages wird von Meldungen wie den folgenden überflutet:

Oct 14 15:04:13 linux kernel: SFW2-IN-ILL-TARGET IN=eth0 OUT= MAC=00:00:1c:b5:a4:09:00:00:1c:b5:a9:24:08:00 SRC=10.25.0.2 DST=10.20.1.53 LEN=56 TOS=0x00 PREC=0x00 TTL=64 ID=63851 DF PROTO=UDP SPT=782 DPT=652 LEN=36
Oct 14 15:04:14 linux kernel: SFW2-IN-ILL-TARGET IN=eth0 OUT= MAC=00:00:1c:b5:a4:09:00:80:c8:c9:a8:9b:08:00 SRC=205.188.7.136 DST=10.25.1.53 LEN=40 TOS=0x14 PREC=0x00 TTL=101 ID=20296 DF PROTO=TCP SPT=5190 DPT=39235 WINDOW=16384 RES=0x00 ACK URGP=0

Ursache

Diese Meldungen stammen von der Firewall. Aus Sicherheitsgründen wird SuSEfirewall2 standardmäßig aktiviert.

Lösung

• Schnell, aber nicht sicher
  

In einer LAN-Umgebung mit eigener Firewall kann SuSEfirewall2 mithilfe des YaST-Moduls Sicherheit und Benutzer -> Firewall gestoppt werden. Ist Ihr Rechner direkt mit dem Internet verbunden oder sind Sie sich unsicher, wählen Sie eine der unten beschriebenen Lösungen.

• Sicher
  

Reduzieren Sie im letzten Dialog des YaST-Moduls Sicherheit und Benutzer -> Firewall die Ausgabe der Firewall auf ein Minimum. Beachten Sie, dass beim kompletten Deaktivieren der Protokollierungsfunktion sicherheitsrelevante Informationen verloren gehen können. Das Herabsetzen des Protokollierungsintervalls ist eine bessere Lösung. Bearbeiten Sie hierfür die Datei /etc/sysconfig/SuSEfirewall2, indem Sie die Variable FW_LOG_LIMIT ändern. Der Standardwert ist 3/minute. Starten Sie danach die Firewall mit folgendem Kommando neu: rcSuSEfirewall2 restart

• Beste Lösung
  

Leiten Sie die Ausgabe der Firewall in eine andere Datei um, zum Beispiel nach /var/log/SuSEfirewall2. Bearbeiten Sie hierfür als Benutzer root die Datei /etc/syslog.conf und hängen Sie folgenden Abschnitt an:

 #
 # SuSEfirewall2
 #
 kern.debug              -/var/log/SuSEfirewall2
 

Suchen Sie dann nach der Zeile:

 *.*;mail.none;news.none                -/var/log/messages
 

und ändern Sie sie wie folgt:

 *.*;mail.none;news.none;kern.!debug    -/var/log/messages
 

Führen Sie nach Speichern der Änderungen folgendes Kommando aus: rcsyslog restart Die Ausgabe der Firewall wird nun in die Datei /var/log/SuSEfirewall2 umgeleitet und die Firewall wird nicht mehr in die Datei /var/log/messages protokollieren.