Servidor de logs para cgnat

[JeffersonSato]

Eae galera, estou com uma dificuldade, não sei nem por onde começar....
Alguém sabe me dizer como faco ou qual sistema usar para salvar logs de acesso de meus clientes que iram usar nat na rede...
Com a escassez de ips publico, preciso garantir isso, caso aconteça de um fiscal bater na empresa solicitando um procuração etc...

Obrigado a todos.

[Vicctor]

Eu uso esse aqui

http://gracasoft.com.br/

[avatar52]

Pode usar o Syslog pra isso também, mas aqui estou usando outra solução bem mais interessante.


Enviado do meu iPhone usando Tapatalk

[gabrielest]

Pode usar o Syslog pra isso também, mas aqui estou usando outra solução bem mais interessante.


Enviado do meu iPhone usando Tapatalk

E qual seria colega?

Enviado via SM-G900M usando UnderLinux App

[michelkalinoski]

Se está usando CGNAT, os únicos logs que vc precisa são os de autenticação, isso o MK-AUTH faz. Quando vc usa CGNAT, determinado cliente só sai por portas específicas do seu ip público, que no momento de uma fraude bancária, por exemplo, vc solicita ao banco que envie qual foi a porta de origem do seu ip público que realizou, olha nos logs quem estava com aquela range de portas e identifica o cabeçudinho.

[eduardomazolini]

Se está usando CGNAT, os únicos logs que vc precisa são os de autenticação, isso o MK-AUTH faz. Quando vc usa CGNAT, determinado cliente só sai por portas específicas do seu ip público, que no momento de uma fraude bancária, por exemplo, vc solicita ao banco que envie qual foi a porta de origem do seu ip público que realizou, olha nos logs quem estava com aquela range de portas e identifica o cabeçudinho.

[emoji106] CGNAT é justamente pra não precisar gravar log. Só saber pra quem você atribuiu o IP interno.

Enviado de meu SM-G800H usando Tapatalk

[JeffersonSato]

Mas sim, o ruim e achar o indevido no meio de ex: 64 clientes para um ip publico, o ideal seria algum servidor que registra o log e a porta de origem, estou subindo LogAnalyzer, não sei se ele vai atender meus requisito...

[JeffersonSato]

Esse Link esta off

[eduardomazolini]

Então não pegou a ideia do CGNAT. Você vai definir ranges de portas de ORIGEM pra cada IP.

Enviado de meu SM-G800H usando Tapatalk

[JeffersonSato]

Eu uso esse aqui

http://gracasoft.com.br/

Esse Link esta off amigo!

[michelkalinoski]

Até pq gravar os logs das conexões de seus clientes (o que eles estão acessando) é crime tbm, fere a inviolabilidade das telecomunicações.

[JeffersonSato]

Até pq gravar os logs das conexões de seus clientes (o que eles estão acessando) é crime tbm, fere a inviolabilidade das telecomunicações.

Amigo não quero salvar logs de acesso e sim de conexão cliente conectou com ip nat 100.64.0.25 apontando para o ip publico xxx.xxx.xxx.xxx, mais porta de origem pois assim tem como eu ter um controle, saber qual cliente fez algum crime, através da porta de origem .

[JeffersonSato]

Então não pegou a ideia do CGNAT. Você vai definir ranges de portas de ORIGEM pra cada IP.

Enviado de meu SM-G800H usando Tapatalk

Isso que eu quero amigo, fazer praticamente nat1:n , define as portas que podem ser utilizada em cada range, mas preciso de algum programa que busque o ip nat apontando ip publico, mais a porta de origem, para documentar, você tem alguma ideia de algum servidor ou algum programa que puxa esse tipo de documentação ?

[michelkalinoski]

A porta vc descobre de acordo com sua grade que vc montou no cgnat, no meu caso o 100.64.1.1 só sai pela range de portas 2500 a 3000. Para saber quem estava com esse ip em tal momento vc pode usar o mk-auth (bom, bonito e barato)

[eduardomazolini]

Isso que eu quero amigo, fazer praticamente nat1:n , define as portas que podem ser utilizada em cada range, mas preciso de algum programa que busque o ip nat apontando ip publico, mais a porta de origem, para documentar, você tem alguma ideia de algum servidor ou algum programa que puxa esse tipo de documentação ?

Documentar é uma vez só diferentes de logar cada conexão. Eu olho na configuração da minha RB. Olhar a configuração é melhor que documento errado ou desatualizado.

Enviado de meu SM-G800H usando Tapatalk

[andrecarlim]

Eae galera, estou com uma dificuldade, não sei nem por onde começar....
Alguém sabe me dizer como faco ou qual sistema usar para salvar logs de acesso de meus clientes que iram usar nat na rede...
Com a escassez de ips publico, preciso garantir isso, caso aconteça de um fiscal bater na empresa solicitando um procuração etc...

Obrigado a todos.

Bom já temos o primeiro problema aqui, se vai usar cg-nat não precisa de servidor de log. Log de conexão é pra quem não pode usar cg-nat!

Mais uma vez vou falar, cg-nat é estatístico, não é dinâmico.

Enviado via XT1580 usando UnderLinux App

[avatar52]

Porque não precisa de log? Explique pra nós mestre. :-)


Enviado do meu iPhone usando Tapatalk

[TsouzaR]

O ruim do CGNAT é fazer o mapeamento de portas mesmo para IPs internos que nem estão sendo utilizados ainda ou utilizados mais. Ficar mexendo nisso toda vez que adiciona ou cancela um cliente é meio tosco, ineficiente (embora eu acredite que consiga automatizar parte disso com address lists no RouterOS - não sei quanto a outros sistemas, mas duvido ser tão intuitivo quanto o firewall desse), aí deixa tudo pronto logo e o problema se torna outro: milhares de regras no firewall, mesmo otimizando ao máximo possível, com novas chains e jumps.

Nesse ponto, NAT comum, com uma quantidade razoável de clientes distribuída por IP público, sem mapeamento de portas e com logs de comunicações em camada 4, parece mais interessante.

[eduardomazolini]

Eu não crio e apago pra cada cliente eu fiz pra todos os IPs que eu uso. @avatar52 eu não preciso de log de acesso. Eu fixo os IPs internos por cliente e tenho log de quando atribuo um IP interno pra um cliente. Uma vez que cadastro o cliente não mudo o IP interno dele.
O pulo do gato do CGNAT, que eu mesmo não sabia que era possível, é mudar a porta de origem do cliente. Então os IPs da minha rede 1 saem com porta entre 1500 e 1999, clientes da rede 2 saem com portas entre 2000 e 2499, assim por diante.

Usando MT ainda tem mais um ganho usando netmap da pra mudar a porta. Usando o iptables tem que usar srcnat pois no netmap não tem parâmetro pra porta de origem.

Enviado de meu SM-G800H usando Tapatalk

[TsouzaR]

Eu não crio e apago pra cada cliente eu fiz pra todos os IPs que eu uso.

Aí reside um dos problemas: centenas ou milhares de regras no firewall, sendo processadas mesmo que o IP não esteja em uso.