Het loggen van de Firewall paginas is onveranderd in de laatste firmware. Toch hier wat aanvullende info omdat er soms onduidelijkheid is.
De firewall events worden gelogd op de "Local Log" pagina:
Omdat je niet constant in je log wilt kijken, kun je een mail adres invoeren zodat firewall meldingen ook naar je toe gemaild worden. Elke nieuwe melding wordt niet gemeld. Als het identieke meldingen betreft van eerdere meldingen, dan stuurt hij een bepaalde tijd geen mailtje. Bij identieke meldingen krijg je volgens mij maar 1x daags een mailtje.
Er zit wel al heel lang een bug in de Ubee waardoor na een modem reset het 3e en 4e invulveld worden gewist. Mailtjes worden dan nog wel verstuurd, maar mijn e-mail provider oormerkt ze dan als potentiële spam.
De inhoud van het log ziet er als volgt uit:
Ook hier worden identieke meldingen samengevat op één regel. Als de nieuwe melding gelijksoortig is als de laatste melding, dan overschrijft deze melding de laatste en wordt het tellertje met 1 verhoogd. b.v. in mijn log heb ik veel last van "TCP- or UDP- based Port Scans". Als je naar het bron adres kijkt zie je dat het hier om IP adressen van DNS servers gaat. Ook poort 53 is de poort die DNS servers gebruiken. Bij alle DNS servers gebeurt dat. Ik heb al adressen van Ziggo, OpenDNS en Google in mijn log gehad. Bij de twee-na-laatste entry zie je dat ik er tussen 12 feb en 30 maart, 889 stuks gehad heb. Toen zijn er plots twee anderssoortige meldingen geweest waardoor er op een nieuwe regel verder gegaan is. Daarna zijn er tot 3 april weer 95 foutieve DNS meldingen geweest. Ook gelijksoortige meldingen vanaf verschillende bron IPs overschrijven elkaar.
Als je absoluut geen entry door overschrijving wilt mislopen, kun je ze ook nog naar een SysLog server sturen. Dit is iets wat de meeste mensen waarschijnlijk niet tot hun beschikking hebben. Op de Remote Log pagina kun je 4 soorten events laten loggen. De 3e optie "Known Internet Attacks" zijn dezelfde meldingen die ook in het locale log staan.
De andere 3 opties loggen zaken die je nooit in het lokale log zult vinden. De eerste 2 zul je alleen voor debugging willen gebruiken. Ze loggen zoveel data dat je ze niet permanent aan wilt hebben.
Al deze loggings hebben overigens een gezamenlijke bug: Alles wordt op het niveau "Alert" gelogd. En zeker de eerste en laatste optie zijn natuurlijk geen "Alert" events. Dit maakt het voor de syslog server weer onmogelijk om alleen op de belangrijke meldingen te reageren. :x