Bonjour,

Je dois logger du tcpdump pour surveiller le trafic sur mon serveur debian. Je pensais créer un cycle avec crontab.

ex:
- J'efface la semaine 1
- Je log la semaine 1
- J'efface la semaine 2
- Je log la semaine 2

ce genre de rotation me permet d'avoir pendant une semaine les logs de la semaine précédente à disposition.

seulement je ne souhaite pas alourdir la charge sur mon serveur et je me demandais si il n'y avait pas un risque que ça remplisse ma mémoire virtuelle.

j'ai remarqué que les logs tcp dump prennent bcp de place ds un simple fichier txt pensez vous que je dois exclure certains protocoles ?

j'ai bcp de destinatoin unreachable ça peut venir d'un blocage iptable ça ?

merci d'avance si vous prenez le temps de me répondre.

Tu peux regarder ici,
http://lists.freebsd.org/pipermail/freebsd-questions/2009-May/198692.html

Apparemment, tcpdump ne supporte pas de changer de fichiers de logs à chaud.

Intéressant, faire un cycle sur la taille du fichier c'est plus pertinent.

Je vais tester ma méthode sur 1 heure au lieu d'une semaine directement. Je vais perde de la capture entre chaque rotation je le savais déjà mais ce n'est pas très grave j'ai pas besoin d'une capture à la milliseconde près.

Le fichier log prends 100 Mbit par tranche de 20 minutes sur 35% de mon trafic habituel... Je vais avoir besoin de filter ce que je log.

Qu'est ce qui est inutile à logger dans du trafic ? ACK par exemple ?

Ca depend de pourquoi tu loggue.

pour du DoS

a part DoS ton disque dur, je ne vois pas bien ce que tu cherche a faire.

bloquer les ips qui dos par itptables

dans ce cas, tu devrais directement extraire l'information qui t'interesse, c'est a dire la liste des IP qui envoie des paquet, sur quel port ils se connecte et a quel frequence. Une fois que tu as une liste de candidat, alors fait des logs detailler de juste ces IPs la.

donc je dois utiliser un attribut dans tcpdump pour logger les ips qui envoie des paquets. Je vais réfléchir à ça ce soir

merci pour le conseil