[9.091][CLOSEDupREQ] Application control log not working

Hello , 

Application control live and view log not working 
tested with ff and chrome with cache reset many times 

pls let me know which log will help 

thanks

Hi utm_kid, I have tested the application control(utm 9.091) live log with google and Iam getting results in live log. So this is working for me.

Iam using Windows7 64bit Firefox 20.

greetings Thomas

Tested on a MAC with ff 20.0 works fine. Tested it on the sixxs tunnel, the vlan and the pppoe interfaces, all show traffic.

Ian

yes i can confirm its not working ,i did again reboot but same problem 

pls let me know which log will help to diagnose this 

thx

i disable appctrl global button and enable but did not help 
then i run /var/mdw/scripts/afc restart
this was about 19:xx hours (pls check log) still no live and view log (update )

[HTML] 2013:04:12-07:27:22 acenn ulogd[4939]: id="2017" severity="info" sys="SecureNet" sub="packetfilter" name="AFC Alert" action="log" fwrule="7" outitf="eth1.50" mark="0x307f" app="127" srcmac="0:c:29:7b:b4:8f" srcip="219.64.91.253" dstip="199.47.219.159" proto="6" length="52" tos="0x00" prec="0x00" ttl="64" srcport="34169" dstport="443" tcpflags="ACK" 
2013:04:12-14:13:10 acenn afcd[5688]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:12-14:13:11 acenn afcd[5688]: loaded plugin '/var/sec/chroot-afc/lib/afc/vineyard.so'
2013:04:12-14:13:11 acenn afcd[5688]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:12-14:13:11 acenn afcd[5743]: AFC ready.
2013:04:12-14:31:45 acenn afcd[5743]: vy_plugin: N: finalizing vineyard thread
2013:04:12-14:31:46 acenn afcd[5743]: STATUS: alert_lvl="GREEN" run_time=1113 num_cts=0 pktps_avg=0.00 pktps_avg_max=45.33 skipped_pktps_avg=0.00 skipped_pktps_avg_max=1.80 connps_avg=0.00 connps_avg_max=22.16 rusage_sys=0.624 rusage_usr=0.416
2013:04:12-14:31:46 acenn afcd[5743]:     BNET (nfmark 00000041):      1 packets,   1 connections
2013:04:12-14:31:46 acenn afcd[5743]:     CFFS (nfmark 00000303):     12 packets,   4 connections
2013:04:12-14:31:46 acenn afcd[5743]:     CIFS (nfmark 00000048):      5 packets,   5 connections
2013:04:12-14:31:46 acenn afcd[5743]:      DNS (nfmark 0000007c):   3406 packets, 1692 connections
2013:04:12-14:31:46 acenn afcd[5743]:     HTTP (nfmark 000000d3):      9 packets,   0 connections
2013:04:12-14:31:46 acenn afcd[5743]:     POP3 (nfmark 0000017a):      1 packets,   1 connections
2013:04:12-14:31:46 acenn afcd[5743]:     SMTP (nfmark 000001ca):      8 packets,   8 connections
2013:04:12-14:31:46 acenn afcd[5743]:   SYSLOG (nfmark 000001e8):     20 packets,  20 connections
2013:04:12-14:31:46 acenn afcd[5743]: packets: 6051 (5001 inspected, 24 skipped)
2013:04:12-14:31:46 acenn afcd[5743]: connections: 2412 (1731 classified)
2013:04:12-14:31:51 acenn afcd[12023]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:12-14:31:52 acenn afcd[12023]: loaded plugin '/var/sec/chroot-afc/lib/afc/vineyard.so'
2013:04:12-14:31:52 acenn afcd[12023]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:12-14:31:52 acenn afcd[12037]: AFC ready.
2013:04:12-14:31:52 acenn afcd[12037]: WARNING! packet already has AFC mark value (0x000010d3), replacing with 0x00001000
2013:04:12-19:10:21 acenn afcd[12037]: vy_plugin: N: finalizing vineyard thread
2013:04:12-19:10:22 acenn afcd[12037]: STATUS: alert_lvl="GREEN" run_time=16708 num_cts=0 pktps_avg=0.21 pktps_avg_max=70.89 skipped_pktps_avg=0.00 skipped_pktps_avg_max=6.79 connps_avg=0.00 connps_avg_max=17.56 rusage_sys=3.784 rusage_usr=3.228
2013:04:12-19:10:22 acenn afcd[12037]:     CFFS (nfmark 00000303):    171 packets,  57 connections
2013:04:12-19:10:22 acenn afcd[12037]:     CIFS (nfmark 00000048):     69 packets,  69 connections
2013:04:12-19:10:22 acenn afcd[12037]:      DNS (nfmark 0000007c):  13824 packets, 6892 connections
2013:04:12-19:10:22 acenn afcd[12037]:  DROPBOX (nfmark 0000007f):    264 packets, 264 connections
2013:04:12-19:10:22 acenn afcd[12037]:     HTTP (nfmark 000000d3):    167 packets,  17 connections
2013:04:12-19:10:22 acenn afcd[12037]:      NFS (nfmark 00000150):     14 packets,  14 connections
2013:04:12-19:10:22 acenn afcd[12037]:      NTP (nfmark 0000015d):      3 packets,   3 connections
2013:04:12-19:10:22 acenn afcd[12037]:     POP3 (nfmark 0000017a):     19 packets,  19 connections
2013:04:12-19:10:22 acenn afcd[12037]:     SMTP (nfmark 000001ca):     60 packets,  60 connections
2013:04:12-19:10:22 acenn afcd[12037]:      SSH (nfmark 000001d8):    152 packets,   3 connections
2013:04:12-19:10:22 acenn afcd[12037]:   SYSLOG (nfmark 000001e8):     35 packets,  35 connections
2013:04:12-19:10:22 acenn afcd[12037]: packets: 18198 (16525 inspected, 143 skipped)
2013:04:12-19:10:22 acenn afcd[12037]: connections: 7610 (7433 classified)
2013:04:12-19:10:22 acenn afcd[23433]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:12-19:10:23 acenn afcd[23433]: loaded plugin '/var/sec/chroot-afc/lib/afc/vineyard.so'
2013:04:12-19:10:23 acenn afcd[23433]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:12-19:10:23 acenn afcd[23437]: AFC ready.  [/HTML]
thx

Just the live log is not popping up? Can you browse the log files Under Logging and Reporting->Log files and do these buttons work

1. Live log Button
2. View Button

Trying to replicate what you are seeing

Regards
Bill

hi Billu , 


i tryed to access live log from dashboard ,i also try what you are saying but output is blank and there is no entry in view log also ,some time back i restart the afc deamon but still i could not get restart acknowldgement in live/view log 

which log will help me to diagnose this 

edit: if you dont mid can you pls add some app control rule from flow monitor and dashboard app control's control 


thx

You are correct, something is broken in appcontrol logging. It stops working completely after a few minutes but I use chrome in incognito mode so restarting the browser makes it work again. But if you have multiple rules, all rules are not logged correctly.
Screenshots: 

1. Setup 2 allow rules with logging for http and youtube
2. Application control live log seems to be working.
3. Go to youtube... Live log won't add anything new while flow monitor is clearly showing youtube traffic[:O]

Tested on chrome.

Regards
Bill

till yesterday (with 9.090 )every thing was working correctly  ,just 2 days back i added some info https://community.sophos.com/products/unified-threat-management/astaroorg/f/80/t/65073 here 

i am using around 16 rules (active) and some are disable 

i see blank report till upgrade it was working i have last log at 7.2X am ,and after that i did upgrade and after that there is no log 
(only  deamon's start/restart  log)
thx

till yesterday (with 9.090 )every thing was working correctly  ,just 2 days back i added some info https://community.sophos.com/products/unified-threat-management/astaroorg/f/80/t/65073 here 

i am using around 16 rules (active) and some are disable 

i see blank report till upgrade it was working i have last log at 7.2X am ,and after that i did upgrade and after that there is no log 
(only  deamon's start/restart  log)
thx

Oh sorry, I didn't follow that thread, been busy at work... seems like they broke the whole log instead of fixing the numbering [:D]

it seems this is something else becase they did not work on that thread as per bot and as per rpm check 

application control was last update on 10 apr before 9.091 was relase 

thx

full log of today 

[HTML] 2013:04:16-10:20:35 acenn afcd[5777]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:16-10:20:36 acenn afcd[5777]: loaded plugin '/var/sec/chroot-afc/lib/afc/vineyard.so'
2013:04:16-10:20:36 acenn afcd[5777]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:16-10:20:36 acenn afcd[5983]: AFC ready.
2013:04:16-17:24:12 acenn afcd[5774]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:16-17:24:13 acenn afcd[5774]: loaded plugin '/var/sec/chroot-afc/lib/afc/vineyard.so'
2013:04:16-17:24:13 acenn afcd[5774]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:16-17:24:13 acenn afcd[5801]: AFC ready.
2013:04:16-17:36:55 acenn afcd[5923]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:16-17:36:56 acenn afcd[5923]: loaded plugin '/var/sec/chroot-afc/lib/afc/vineyard.so'
2013:04:16-17:36:56 acenn afcd[5923]: _afc_cfg_file_plugin_parse: 805 protocols registered
2013:04:16-17:36:56 acenn afcd[5953]: AFC ready.[/HTML]

thanks

hello  , 

here is workaround to fix (?) it , 

it you disable http proxy and enable pf rule for web browsing group it work 
it work but if you enable proxy and disable pf rule again it stop working 

it seems no 1 form sophos is intrested in problem [:@]

thx

it you disable http proxy and enable pf rule for web browsing group it work 
it work, but if you enable proxy and disable pf rule again it stop working 

Hi Shrikant,

Yes that is how it works. If you disable web filtering, traffic will be logged in afc.log and of course in app ctrl live log. See previous post with screenhot.
If you use web filtering, the traffic will be logged in http.log/ web filtering live log. You will get what Billybob posted previously. Bill, btw, i reproduced your "screenshots" when using webfiltering.
So guys, that's how this functionality was before, I do not see a threat here.
Best regards,
Bianca

Hi Bianca,
I was adjusting my questions and answers when you posted your answer.

But why would all the AP appear in the web log when some of them are not http proxy type traffic?

Ian

But why would all the AP appear in the web log when some of them are not http proxy type traffic?

Hi Ian,
Sorry if i wasn't too clear.
Not "all" Application Control traffic will appear in web filtering log, just the one that is using web proxy. Lets stick to Bill scenario using http and youtube. The browser is using the http proxy, so when u run those 2 types of traffic you will see them in http.log. If you would use other applications (utorrent, dropbox, skype etc), which are not configured with a web proxy, and you enable rules in AP to allow and log, you will see this type of traffic in afc.log.
Regards
Bianca

Thanks Bianca for detailed testing and explanation. I don't use application control for anything beside QoS so I wasn't familiar with the behavior of the logging functionality... unless OP has anything else to add, I am satisfied with your explanation.
Regards
Bill
Edit: Was just wondering, if the behavior you describe has always been the same. Don't know what caused Shrikant to think that something had changed in the logging [:S]

Hey Bill,
As far as I know, this functionality was not changed. 
Regards,
Bianca

Sorry i was gone out to watch a drama ,that's  why i was late to reply but this is another drama [:D] 

ok as i posted no one tested rules with inline mode (rules need be added with dashboard and flow monitor ) i am not sure that is the problem but some of the rule are added by me that way i can confirm this is a bug 

you dont understand why i say enable this and disable that 

if i disable http proxy from dashboard and enable pf rule application control log work ,that how it suppose to work ? [:@]

when i enable http proxy from dashboard and disable pf rule application control log stop working 


till update i dont had to disable http proxy to use application control log 

 if you want remote pls let me know or i can send you then we will do share rdp session to test this senario but this is 100 % bug

edit : i have many rule around 16/17 some rule are network depandent ex .. facebook is only allow for wireless network and after facebook is block for all network this is just 1 example there are some more such rules  and i am using http profile