☰

¿Cómo miro el número local para asegurarme de que se le envíen mensajes?

tag-icon • tag-icon linux sftp rsyslog opensuse
¿Cómo miro el número local para asegurarme de que se le envíen mensajes?

Estoy intentando recopilar registros de operaciones adicionales de mi servidor SFTP. Agregué las siguientes líneas a /etc/ssh/sshd_config, según lo indicado en muchas publicaciones en Internet:

Subsystem sftp internal-sftp -l VERBOSE -f LOCAL6

Match Group sftponly
    ChrootDirectory /data/%u
    ForceCommand internal-sftp -l VERBOSE -f LOCAL6
    X11Forwarding no
    AllowTcpForwarding no

Luego creé /etc/rsyslog.d/60-sftp.conf con las siguientes líneas para recopilar la información de registro:

# Parse the data logged at level INFO and facility LOCAL6 into /var/log/sftp
local6.* /var/log/sftp

# Report logins and logoffs
:syslogtag,startswith,"internal-sftp" /var/log/sftp

# Log internal-sftp in a separate file
:programname, isequal, "internal-sftp" -/var/log/sftp

En este punto, parece que no puedo obtener ningún registro para llegar a /var/log/sftp, todo continúa yendo a /var/log/messages y no parece ser detallado en absoluto. Aquí hay un fragmento de todo lo que recibo:

Sep 28 16:46:11 ftp sshd[10060]: Accepted publickey for root from 172.25.50.117 port 54836 ssh2
Sep 28 16:46:11 ftp sshd[10060]: Received disconnect from 172.25.50.117: 11: disconnected by user
Sep 28 16:46:16 ftp sshd[10109]: Accepted keyboard-interactive/pam for account1000002664 from 172.25.50.86 port 34255 ssh2

He verificado que el sistema está ejecutando rsyslogd ejecutando:

ftp:~ # ps ax | grep syslog
 9205 ?        Sl     0:00 /sbin/rsyslogd -c 5 -f /etc/rsyslog.conf

Por lo que puedo decir, estoy editando los archivos correctos. Supongo que el siguiente paso es garantizar que los registros esperados se envíen a local6. El objetivo aquí es obtener los datos necesarios para generar un registro similar, si no exactamente, al xferlog creado por vsftpd.

¿Alguien tiene alguna idea sobre cómo proceder? Como nota al margen, esto se ejecuta en OpenSuse 12.1.

Respuesta1

Debe tener el socket de registro ( /dev/log) en chroot, si desea iniciar sesión a través de él, o necesita implementar una forma de conservar el descriptor de archivo durante la internal-sftpejecución.

Debería funcionar en el RHEL actual (al menos lo probamos y esdocumentado), pero no tengo conocimientos sobre suse.

Tal vez esta característica no esté completamente implementada allí, pero siempre puede crear el socket chrooty configurarlo rsyslogpara aceptar mensajes en este socket. Puede probarlo con el registrador como se propone en los comentarios.

información relacionada