pflog per Mountpoint verteilen

[halloICKEbins]

Abend,

habe mit dem Befehl "tcpdump -nettti pflog0 -w livefile" ein Live-File vom pflog...ist es möglich z. B. in der /etc/newsyslog.conf, einen Eintrag setzen, dass er einen zweiten Speicherort für eine Kopie vom Livelog hat

Hintergrund ist der, dass ich die LiveDatei (tcpdump -nettti pflog0 -w /root/livepflog) per mountpoint auf einem anderen Server speichern möchte ohne das auf der OpenBSD-Maschine tcpdump ständig laufen muss!!!

 

[double-p]

Eigentlich ist pflogd(8) fuer sowas da.

 

[halloICKEbins]

Die man-pages kenne ich aber ich sehe dort keine Hinweise, wie ich es konkret umsetzen kann!

 

[mark05]

hi


was ist da zu verstehen ?

pflogd laeuft , newsyslog rotiert das ganze
und wenn du ein
log in deinen regeln im pf.conf einbaust . hast du deinen dump im /var/log/pflog

siehe auch
https://www.openbsd.org/faq/pf/logging.html
bzw
man pf.conf
https://man.openbsd.org/pflogd.8

als ein paralleles lauft von tcpdump ist nicht notwendig.

holger

 

[halloICKEbins]

Das ist aber keine Livelog sondern die Datei pflog hat eine Minute Verzögerung bzw. wird nur minutlich geschrieben gegenüber dem "tcpdump -nettti pflog0". Ich benötige die Einträge aber sofort bzw. sekundlich!!!

 

[KobRheTilla]

die Datei pflog hat eine Minute Verzögerung

Das ist - wie so oft - definierbar:

     -d delay
             Time in seconds to delay between automatic flushes of the file.
             This may be specified with a value between 5 and 3600 seconds.
             If not specified, the default is 60 seconds.

Bitte lies die Manpage zu pflogd.

Rob