Versão Imprimível
Eae galera, estou com uma dificuldade, não sei nem por onde começar....
Alguém sabe me dizer como faco ou qual sistema usar para salvar logs de acesso de meus clientes que iram usar nat na rede...
Com a escassez de ips publico, preciso garantir isso, caso aconteça de um fiscal bater na empresa solicitando um procuração etc...
Obrigado a todos.
Eu uso esse aqui
http://gracasoft.com.br/
Pode usar o Syslog pra isso também, mas aqui estou usando outra solução bem mais interessante.
Enviado do meu iPhone usando Tapatalk
E qual seria colega?Citação:
Postado originalmente por avatar52
Enviado via SM-G900M usando UnderLinux App
Se está usando CGNAT, os únicos logs que vc precisa são os de autenticação, isso o MK-AUTH faz. Quando vc usa CGNAT, determinado cliente só sai por portas específicas do seu ip público, que no momento de uma fraude bancária, por exemplo, vc solicita ao banco que envie qual foi a porta de origem do seu ip público que realizou, olha nos logs quem estava com aquela range de portas e identifica o cabeçudinho.
[emoji106] CGNAT é justamente pra não precisar gravar log. Só saber pra quem você atribuiu o IP interno.Citação:
Postado originalmente por michelkalinoski
Enviado de meu SM-G800H usando Tapatalk
Mas sim, o ruim e achar o indevido no meio de ex: 64 clientes para um ip publico, o ideal seria algum servidor que registra o log e a porta de origem, estou subindo LogAnalyzer, não sei se ele vai atender meus requisito...
Esse Link esta off
Então não pegou a ideia do CGNAT. Você vai definir ranges de portas de ORIGEM pra cada IP.
Enviado de meu SM-G800H usando Tapatalk
Esse Link esta off amigo!Citação:
Postado originalmente por Vicctor
Até pq gravar os logs das conexões de seus clientes (o que eles estão acessando) é crime tbm, fere a inviolabilidade das telecomunicações.
Amigo não quero salvar logs de acesso e sim de conexão cliente conectou com ip nat 100.64.0.25 apontando para o ip publico xxx.xxx.xxx.xxx, mais porta de origem pois assim tem como eu ter um controle, saber qual cliente fez algum crime, através da porta de origem .Citação:
Postado originalmente por michelkalinoski
Isso que eu quero amigo, fazer praticamente nat1:n , define as portas que podem ser utilizada em cada range, mas preciso de algum programa que busque o ip nat apontando ip publico, mais a porta de origem, para documentar, você tem alguma ideia de algum servidor ou algum programa que puxa esse tipo de documentação ?Citação:
Postado originalmente por eduardomazolini
A porta vc descobre de acordo com sua grade que vc montou no cgnat, no meu caso o 100.64.1.1 só sai pela range de portas 2500 a 3000. Para saber quem estava com esse ip em tal momento vc pode usar o mk-auth (bom, bonito e barato)
Documentar é uma vez só diferentes de logar cada conexão. Eu olho na configuração da minha RB. Olhar a configuração é melhor que documento errado ou desatualizado.Citação:
Postado originalmente por JeffersonSato
Enviado de meu SM-G800H usando Tapatalk
Bom já temos o primeiro problema aqui, se vai usar cg-nat não precisa de servidor de log. Log de conexão é pra quem não pode usar cg-nat!Citação:
Postado originalmente por JeffersonSato
Mais uma vez vou falar, cg-nat é estatístico, não é dinâmico.
Enviado via XT1580 usando UnderLinux App
Porque não precisa de log? Explique pra nós mestre. :-)
Enviado do meu iPhone usando Tapatalk
O ruim do CGNAT é fazer o mapeamento de portas mesmo para IPs internos que nem estão sendo utilizados ainda ou utilizados mais. Ficar mexendo nisso toda vez que adiciona ou cancela um cliente é meio tosco, ineficiente (embora eu acredite que consiga automatizar parte disso com address lists no RouterOS - não sei quanto a outros sistemas, mas duvido ser tão intuitivo quanto o firewall desse), aí deixa tudo pronto logo e o problema se torna outro: milhares de regras no firewall, mesmo otimizando ao máximo possível, com novas chains e jumps.
Nesse ponto, NAT comum, com uma quantidade razoável de clientes distribuída por IP público, sem mapeamento de portas e com logs de comunicações em camada 4, parece mais interessante.
Eu não crio e apago pra cada cliente eu fiz pra todos os IPs que eu uso. @avatar52 eu não preciso de log de acesso. Eu fixo os IPs internos por cliente e tenho log de quando atribuo um IP interno pra um cliente. Uma vez que cadastro o cliente não mudo o IP interno dele.
O pulo do gato do CGNAT, que eu mesmo não sabia que era possível, é mudar a porta de origem do cliente. Então os IPs da minha rede 1 saem com porta entre 1500 e 1999, clientes da rede 2 saem com portas entre 2000 e 2499, assim por diante.
Usando MT ainda tem mais um ganho usando netmap da pra mudar a porta. Usando o iptables tem que usar srcnat pois no netmap não tem parâmetro pra porta de origem.
Enviado de meu SM-G800H usando Tapatalk
Aí reside um dos problemas: centenas ou milhares de regras no firewall, sendo processadas mesmo que o IP não esteja em uso.Citação:
Postado originalmente por eduardomazolini
Uso jump não processo mais que 16 regras.Citação:
Postado originalmente por TsouzaR
Enviado de meu SM-G800H usando Tapatalk
Tava em contato com um sistema e disseram que não armazena log pois é contra lei ter armazenado o que o cliente acessou, disseram que usa cgnat, procede isso pessoal?
SimCitação:
Postado originalmente por bimbo
ola, para quem ainda procura um programa de armazenamento de log do mikrotik da uma olhada neste.
Gestor Log Linux para mikrotik
https://www.youtube.com/watch?v=wG0e7yudzT0
Citação:
Postado originalmente por JeffersonSato
simple so habilitar o log remote no mikrotik, configurar para logar o IP/firewall NAT remoto em um IP de um servidor linux na sua rede, de preferência com bastante espaço. Aqui esta dando media de 8GB por dia de logs para uma media de 300 usuários, media de um hrs de 3TB por ano de log.
O duelo no Ubuntu funciona maravilha para logar, depois pode usar qualuer outro app de examinar logs para abrirmos arquivos de logs.
Use CGNAT assim não precisa guardar log só documentar a configuração.
Eu ainda não entendi essa ideia do CGNAT, poderia me explicar melhor fazendo um favor? Ou como fazer esse tal NAT?
Gestor log linux deve ajudar para quem precisa armazenar logs de forma otimizada e compactada.
Open Source
https://github.com/bylltec-projetos/...Mikrotik-Linux
https://www.youtube.com/watch?v=wG0e7yudzT0
Olá ! Eu também estou precisando de uma solução que grave os logs. Eu uso NAT em minha rede e não consigo gravar os registros, tais como: porta lógica e ips públicos acessados pelo cliente. Segundo o Marco Civil da Internet, temos que armazenar os dados de acesso por 1 ano, sob pena de sermos corresponsabilizados. Algum amigo usa NAT e consegue gravar essas informações ?
uma solução que estou usando e gostando para log é essa.
https://www.graylog.org/downloads
https://docs.graylog.org/