Journal syslog concernant le pare-feu et la gestion de contenu

Dans cet article, nous listons certains des journaux du pare-feu du routeur Vigor et décrivons comment les lire.

Filtrage (filter rule)

DrayTek [FILTER][Block][LAN/RT/VPN->WAN, 0:10:22 ][@S:R=2:2, 192.168.1.11->8.8.8.8][ICMP][HLen=20, TLen=60, Type=8, Code=0]

• [Filter] signifie qu'il est lié à une règle de filtrage.
• [Block] signifie que le paquet a été discrétionné.
• @S:R=2:2 indique que l'action a été prise par la règle n°2 du jeu de filtres n°2.
• [ICMP] est le type de service.
• 192.168.1.11->8.8.8.8 signifie que le paquet provient de 192.168.1.11 et se dirige vers 8.8.8.8.

Contrôle d'application (APP enforcement)

DrayTek [CSM_AE][Block][FTP][@S:R=13:1, 111.251.207.21:34730->192.168.29.14:50337][TCP][HLen=20, TLen=1061, Flag=AP, Seq=3406493667, Ack=527650905, Win=2904]

• [CSM_AE] signifie qu'il est lié au contrôle d'application (APP Enforcement) de CSM.
• [FTP] est l'application sélectionnée dans le profil APPE.
• @S:R=13:1 indique que l'action a été prise par la règle n°1 du jeu de filtres n°13, qui est la règle par défaut du pare-feu.

Filtrage de contenu URL (URL content filter)

DrayTek [CSM_UF][Block][Type=KW(G:O=0:1)][@S:R=2:3, 192.168.1.11:50345->http://tw.yahoo.com/:80][HTTP][HLen=20, TLen=1465, Flag=AP, Seq=2495239783, Ack=1500601792, Win=260]

• [CSM_UF] signifie qu'il est lié au filtrage de contenu URL (URL Content Filter) de CSM.
• Type=KW(G:O=0:1) indique que le paquet ne correspond à aucun groupe de mots-clés mais correspond à l'objet mot-clé n°1.
• 192.168.1.11:50345->http://tw.yahoo.com signifie que le paquet provient de 192.168.1.11 et se dirige vers http://tw.yahoo.com.

Filtrage du contenu Web (Web content filter)

DrayTek [CSM_WF][Block][Service_Provider=CYREN][Category=News][@S:R=2:3, 192.168.1.11:50426->http://www.bbc.co.uk:80/news][HTTP][HLen=20, TLen=1492, Flag=A, Seq=1965422587, Ack=29701415, Win=65340]

• [CSM_WF] signifie qu'il est lié au filtrage du contenu Web (Web Content Filter) de CSM.
• Category=News indique que le paquet correspond à la catégorie News.

Filtrage DNS

DrayTek [CSM_DNSF][Block][Type=KW(G:O=0:1)][@S:R=2:3, 192.168.1.10:49316->http://www.facebook.com:53][DNS][HLen=20, TLen=62]

• [CSM_DNSF] signifie qu'il est lié au filtrage DNS de CSM.
• [DNS] indique que le paquet est une requête DNS.

Règles IP du filtre (IP filter rule)

Les journaux commençant par “IPF” sont des logs de règles IP du filtre. Par exemple :

[IPF-pass-rule_11] PASS src ip 192.168.239.11 mac 60:a4:4c:05:ab:9c dst ip 5.96.88.133 proto tcp DPT=443, skbmark=10000000/0, c

• “pass” est le nom du groupe de filtre IP.
• “rule_11” est le nom de la règle IP du filtre.

Le journal ci-dessus signifie que le routeur a autorisé la connexion depuis l'adresse IP 192.168.239.11 vers l'adresse IP 5.96.88.133 sur le port TCP 443 en raison de la règle du groupe de filtre IP “pass” et de la règle “rule_11”.

Filtrage d'applications (application filter)

Les journaux commençant par “[CSM] APPF” sont des logs de filtrage d'applications. Par exemple :

[CSM] APPF Block MISC-HTTP Proxy connection, Local user 192.168.239.11

• “MISC-HTTP Proxy” est l'option HTTP Proxy dans l'objet APP.

Le journal ci-dessus signifie que le routeur a bloqué la connexion depuis IP 192.168.239.11 en détectant des événements HTTP Proxy.

Filtrage URL (URL filter)

Les journaux contenant “[URLF]” et un mot-clé sont des logs de filtrage de contenu URL. Par exemple :

[CSM] Blocking [www.catho.com.br/favicon.ico] by keyword [catho], Local user 192.168.239.11 [URLF-catho] BLOCK src ip 192.168.239.11 mac 60:a4:4c:05:ab:9c dst ip 186.234.214.60 proto tcp DPT=80, skbmark=0/0, ctmark=0/0

• [URLF-catho] signifie que le profil de filtrage URL/Web Content Filter est nommé “catho”.

Le journal ci-dessus signifie que