wie kann ich Internet-Connections mit loggen?

[Bean_72]

Hallo,
habe jetzt seit 2 Wochen meine erste FritzBox - eine 7270 mit Firmware 54.04.70freetz-devel-3207M.
Ich bin jetzt was Linux angeht der totale Noob - habe aber immerhin Dank der vielen Anleitungen ein Freetz hinbekommen.
Bei meinem vorherigen Router (Allnet) konnte ich die ausgehenden Verbindungen (URL) loggen und gegebenenfalls Sperren. (Nachhause telefonieren)
Wie kann ich das jetzt mit 7270 realisien, ich kann mir eigentlich nicht vorstellen dass die Fritz-Freetz Kombination dieses "Feature" nicht beherrscht.
Allerdings bin ich nur web-gui für Daus gewöhnt.
Mit dem AVM-Firewall-Gui habe ich es hinbekommen bestimmte ausgehende ip's zusperren aber leider keine URL's - mache ich da etwas falsch.

Sollte dieses schon behandelt worden sein habe ich evtl. die falschen Schlagwörter benutzt oder es wurde auf einem "zuhohen Niveau" behandelt.
Ich kann leider nichts mit den Begriffen "stateful" o.ä. anfangen.
Ich hoffe mir kann trotzdem einer helfen.

MfG
Bean.

 

[Silent-Tears]

iptables sollte das beherrschen, oder aber auch dnsmasq mit nutzen und bestimmte urls auf 127.0.0.1 verweisen lassen. Dioe Boardsuche hilft dir da sicherlich weiter.

 

[Bean_72]

ja Danke,

ich meine aber irgendwo gelesen zu haben, dass iptables mit dem Kernel der 7270 nicht richtig geht.
Desweitern bietet meueconfig mir auch kein GUI für iptables an.
Wenn ich in der AVM-Firewall logging dsl-d aktiviere, wo finde ich dann das log?
Oder gibt es irgend einen andere (einfach zu bedienene) Möglichkeit zu "sehen" wo meine Software hintelefoniert? - ich möchte allerdings keine SW(Bremse) auf meinen PC Installieren, sollte schon in der Fritzbox realisiert werden.

MfG
Bean.

 

[Silent-Tears]

IPTables hat Probleme mit den 71XX-Boxen, und dabei auch nur das conntrack-Modul. Mit der GUI bei den 72xx-Boxen hast du recht, Niemand hat sich bisher die Mühe gemacht, das Ding anzupassen, da es sowieso nur ein paar Zeilen in der rc.custom oder dwbug.cfg bedarf, um das zum laufen zu bekommen.
Du kannst durchaus noch das komplette DSL-Protokoll mitloggen, und daraus deine Rückschlüsse ziehen, oder die Firtzbox von der Wand trennen unm sie entgültig am "nach Hause Telefonieren" zu hindern. Ich empfehle dir allerdings dennoch ein Betreibssystem, dessen freie Software nicht nach Hause telefoniert, dann ist das alles gar nicht unbedingt nötig

 

[cando]

...wobei selbst Linux mit seinen Applications gelegentlich "nach Hause" telefoniert, auch jede Java Engine von Sun, der Firefox und viele andere mehr, aber das ist ein anderes Thema.

iptables ist Dein freund, es versteht auch DNS Namen in den Regeln. Wenn Du die DECT Basis der 7270 nicht benutzt, kann iptables auch mit entsprechenden Regeln im syslog loggen, andernfalls hilft ein mitlaufendes telnet oder ssh Terminal auf einem PC, dass die Ausgaben in eine Protokolldatei schreibt.

Alternativ kann man auch die Windows Firewall auf dem PC dazu bringen, jeden Verkehr zu protokollieren.

 

[Silent-Tears]

Wenn ich mich recht entsinne, ist dieses "Nach Hause telefonieren" allerdings nur eine Updatesuche, und nicht ein "Darf ich an diesme Rechner in dieser Konfiguration mit diesem KEy laufen? Wenn nicht, dann tu dies und das".
Aber auch dieses Updateverhalten habe ich unterbunden und mache dies nur manuell. Siether würde meine Box tatsächlich die Verbindung trennen, wenn ich denn nicht am Rechner bin und irgendetwas tue. Doch durch die VoIP-Telefonie muss die Leitung ja stehen

 

[cando]

Das ist nur die Spitze des Eisbergs. Dann gibt's da Google Analytics, Doubleclick, Zanox & Co, die einen Im Internet verfolgen, diverse "automatic Update" (t.B. Adobe & Co) die gerne mal die aktuelle Konfig nach Hause funken, um neue Updates und Features anzubieten, dann die Virenscanner und Spamfilter, die nicht nur Updates saugen, sondern auch Statistiken zurückmelden, diverse Media Player, die die Statistiken über Häufigkeit / Beliebtheit von Musik und Video Titeln zurücksenden (getarnt unter dem Schmankerl, die AlbumArt anzuzeigen) und vieles mehr.

Ein Blick in die Logdateien bringt da einen riesen Sumpf von Jäger und Sammler zu Tage.

 

[Bean_72]

...o.k.

Dann probier ich es mal mit iptables, allerdings bin ich da schon beim kompiliern gescheitert, da ich nicht wusste wo ich alles ein (x) machen sollte.
Im wiki für iptables steht, mann soll den GUI aktivieren dann wird alles wichtige mit ausgewält - nur GUI gibts ja leider in meinem Fall nicht.
Gibt's eigentlich ein einfaches HOWTO zur Konfiguration bei iptables?
Na ja DECT habe ich schon vor zu nutzen, deswegen hab ich ja die 7270. Naja und mit "nachhause Telefonieren" meine ich natürlich nicht Updates sondern die eine oder andere "Überprüfung".Ich tue mich schon schwehr genug mit LINUX auf der Fritze, da tue ich mir LINUX erstrecht nicht auf dem PC an. Respekt vor denen die es auschlieslich nutzen!!. Auf dem Lappi habe ich zwar nebenher auch Ubuntu - aber nur zum Freetzen. Ich fand halt mein Allnet schön Idiotensicher. Und mit iptables schieße ich halt mit Kannon auf Spatzen. Bis jetzt hat mir NAT für mein Sicherheitsbewusstsein ausgereicht...
@cando vielleicht könntest du mir ja einen Screenshot von Deiner Menuconfig (iptables) posten.

MfG
Bean

 

[cando]

Ich hab die wiki mal vor Kurzem aktualisiert, da sollte alles zur 7270 mit getesteten Beispielen drinstehen, sonst einfach fragen.

http://www.freetz.org/wiki/packages/iptables

Ich wähle beim compilieren der Firmware immer alle module aus, die 7270 hat ja genug flash Speicher. Ich lade aber nur die
wirklich für meine Regeln benötigten module über die debug.cfg inclusive der Regeln in den Speicher.

 

[cuma]

Ich benutze http://www.opendns.com/. Da kann man direkt angeben welche Domains gefiltert werden sollen

 

[cando]

Super Idee, Dein gesamtes Surf-Verhalten einer einzigen Firma anzuvertrauen. Warum sich mühsam von vielen Betreibern ausspähen lassen, wenn man seine Daten ja freiwillig einem einzigen zur Verfügung stellen kann...

Das ist so, wie den Teufel mit dem Belzebub auszutreiben.

Wenn schon Proxy, dann nur einen, den man selbst betreibt, und keinen beim Provider. Alles andere hat mit Privacy und Sicherheit nichts zu tun.

Da kann man auch das TOR Netzwerk verwenden, nur da ist man auch einem einzigen Provider ausgeliefert. Am besten streuen und häufig die IP Adresse ändern, Cookies regelmäßig löschen etc.

 

[cuma]

Es geht mir nicht um "Privacy und Sicherheit" sondern darum, dass 1) ich bei unbekannten Domains nicht auf die KD-Sucheseite gelangen will und 2) Ad- und Malware geblockt werden. Ob jetzt mein Provider die Namensauflösung macht oder ein anderer ist mir eigentlich egal. Es wird ja eh nur die 1. Anfrage nach außen weitergereicht und jede weitere aus dem Cache bedient.
Es ging hier auch darum wie man bestimmte Domains blocken kann

 

[cando]

Ja klar, jeder hat andere Anforderungen.

Das führt ab weg vom eigentlichen Thema - wie man den Verkehr durch die Fritz!Box effektiv protokollieren und einschränken kann - und löst nicht wirklich das ursprüngliche Problem.

Bean_72 will ja nur wissen, was durch Seine Box nach aussen gelangt, ein externer DNS Filter Dienst hilft da nicht weiter.

 

[Bean_72]

Bean_72 will ja nur wissen, was durch Seine Box nach aussen gelangt, ein externer DNS Filter Dienst hilft da nicht weiter

genau! Ich möchte wissen welche IP ich sperren muss, um z.B. bei Nero das telefonieren zu verhindern. etc.
Oder anderseits ich habe alle Ports gesperrt, ausser 80, aber z.B. Ebay-Countdown geht nicht da anderer Port - nur welcher?
Gibts denn einen guten Proxy auf der Fritz der alles Protokolliert?
Der M$ ISA2006 ist zB. genial, aber den möchte ich zu Hause nicht haben.
Und warum kann ich in der AVM-Firewall das loggen anhaken aber wo ist das log? - Im syslog steht da denn nichts informatives.

MfG
Bean.

 

[cando]

AVM hat dem dsld (AVM Firewall) das loggen abgewöhnt, der Haken ist wirkungslos.

Der einzige mir bekannte Weg eine Firewall mit brauchbarem Protokoll auf der Fritze zu betreiben ist die oben beschriebene Verwendung von iptables mit Life-Log auf Konsole 0 oder eben Abschaltung von DECT und Log im Syslog.

Es gibt noch ein alternativer Ziel ULOG, das habe ich aber bislang noch nicht ans Laufen bekommen. Die iptables Seite funktioniert schon, nur der ulogd deamon mach zicken. Wenn das mal funktioniert, kann man dann in eine beliebige Datei oder sogar in eine Datenbank seiner Wahl protokollieren.

Anleitung zur 7270 und freetz mit iptables fiindest Du hier.

 

[cuma]

Der einzige mir bekannte Weg eine Firewall mit brauchbarem Protokoll auf der Fritze zu betreiben ist die oben beschriebene Verwendung von iptables mit Life-Log auf Konsole 0 oder eben Abschaltung von DECT und Log im Syslog.

Es gäbe da noch einen Weg, der soweit ich mich erinnere (nur bei dir?) nicht funktioniert hatte...

@Bean_72: Welche Verbindungen aufgebaut sind/werden kann man mittels tcpdump auf der Box oder Wireshrak auf den PC heraufinden