Want to use my Linksys router with ASL

I do something very similar with my linksys as well which is one of the cool things that I would like to continue to do with mynetwatchman I report all intrusion attempts as you do with dshield. I am having a hard time trying to figure out how to report these logs as well.  But as Dan said above in this thread I agree it is a bit redundant to run the linksys for several reasons speed being one of them. I also used it for VPN which worked very well and easy to setup for what I needed it to do. If you find a solution to that I would love to know.....   

with regard to dshield it seems like this should work.

But first... How do you submit them today? Cut and Paste?
or one of the client programs?

So..  tell me what you think about this approach

I'll assume you have no other LINUX box available other than the ASL router.

On the DSHIELD page they mention the universal windows client that supports iptables format..
http://dshield.org/windows_clients.php#universal

on that page they mention KIWI syslog app.
http://www.kiwisyslog.com/info_syslog.htm
(sadly. the free version won't run as a service.)

download both of these and install them.

Now in ASL go to System/ Syslog and "point" the Kernel Log to your windows machine that will run the KIWI syslog app. (you may have to define the box first under definitions)

now you should have all packet information showing up in the KIWI logs.

Now on cvtwin...
you'll probably have to tell it where the Kiwi Log file is.
you'll also need to "tell" cvtwin that your log format is iptables
That should do it...

Alternatively,
If you are just cutting and pasting then you could just cut and past from the ASL Kernel log each day and submit via the web interface.
choose the" Linux 2.4.x Kernel iptables logs" on the format pull-down and paste away.

Let us know how you make out.  

actually I have three linux boxes up and going but I just need the firewall incoming ports forwarded and they are sent in realtime. And looks to me as if this may be an answer.... I will dig into it... 

Thanks...
  

in that case you can run the iptables client on your linux box.

reconfigure your /etc/sysconfig/syslog so it starts with -r and allows remote logs...

then configure ASL to send kernel logs to that LINUX box.

then add an entry  in /etc/cron.daily to run the iptables script and submit each morning.(after editing for your dshield id).. and you're all set.

since first reading this I have set this up and now submit logs to dshield. 

I downloaded the Kiwi System Logger and tried out your suggestion. This is a workable approach, I do get the ASL kernel logs showing in the Kiwi System Logger. However, the free Kiwi version doesn't support filtering, and my demo license will time out on me, so this becomes a $100 solution, which is quite an expensive frill for a home network.

Running filters on the Kiwi System Logger is essential here, since I only want CVTWIN (the DShield task) to convert and send in the packets that were dropped by the external interface on the ASL. The raw output from the kernel logger contains way too much information, since it logs all the packet traffic hitting all the interfaces.

But I do owe you thanks, since you did provide a functional solution to the actual technical issue.
   

Here is a free syslog that will filter although I have not tried it.
http://www.mt.lv/download.html#syslog

you could also filter at ASL by saying drop NOT drop and log... The default behaviour.

I could be wrong but you probably don't want to log dropped packets on any interface except those destined for the external_interface.

here are my rules

Code:

---

..  	 	No.  	 	From (Client)  	Service  	To (Server)  	Action  	 	Command
		1 		Private_Network_10.0.0.0 	Any 	Any 	Allow 		edit 	del 	move
		2 		Any 	Any 	10.5.1.9 	Allow 		edit 	del 	move
		3 		Any 	Any 	linuxbox 	Allow 		edit 	del 	move
		4 		Any 	{ mynetbios } 	external_Interface__ 	Drop 		edit 	del 	move
		5 		steves machine 	Any 	Any 	Allow 		edit 	del 	move
		6 		Any 	Teamspeak 	Any 	Allow 		edit 	del 	move
		7 		Private_Network_10.0.0.0 	Any 	Internal_Broadcast__ 	Allow 		edit 	del 	move
		8 		10.6.1.0 	Any 	Any 	Allow 		edit 	del 	move
		9 		Private_Network_10.0.0.0 	Any 	broadcast 	Allow 		edit 	del 	move
	

---

 

I found these two informative FAQ pages on the Linksys web site.

The first one discusses how to configure a Linksys router if you have a PPTP host (such as ASL v4) on its LAN side.

http://kb.linksys.com/cgi-bin/om_isapi.dll?clientID=298709&QuestionText=pptp&SelectName1=&advquery=%5bs%5d%5bRank%2c%2050%3a%5bSum%3a%20pptp%5d%5bMerge%3a%20%5bThesaurus%3a%20pptp%5d%5d%5d&infobase=linksysrev.nfo&record={434}&softpage=IKW_ENU_JDocView

The second discusses how to configure the router if you have a VPN client on the LAN side.

http://kb.linksys.com/cgi-bin/om_isapi.dll?clientID=298727&QuestionText=pptp&SelectName1=&advquery=%5bs%5d%5bRank%2c%2050%3a%5bSum%3a%20pptp%5d%5bMerge%3a%20%5bThesaurus%3a%20pptp%5d%5d%5d&infobase=linksysrev.nfo&record={3F0}&softpage=IKW_ENU_JDocView

Of cause, using either or both of these approaches, you won't be using your Linksys as the VPN endpoint,
you are simply opening up the requisite ports for ASL v4 to be able to fuction as the endpoint, working
transparently through the Linksys router that is in front of it.

        

but we want to get RID of the Linksys...

Do you have a need for it now that you can log across the net properly for dshield?  I think my link above pointed to a workable syslog solution that provides filtering and is "free".




 

Rob, I am not going to use the Linksys anylonger and like the solution as for the syslog to another linux machine I have a couple of questions if you would not mind helping me as you seem to have it working good. Ok if remote syslog into another linux box for example and send the kernel logs over to that machine how do I filter prior to sending to dshield ? lots of stuff in there that just makes no sense to parse and all... could you explain a little more detailed of how your handling this it would be most appreciated.... 

Thanks...     

Also I noticed your packet filter rules : 

Ie:
6  Any  Teamspeak  Any  Allow  edit  del  move


I see that you have it working, I have been trying to get this to work as well UDP 8767 when you defined it as a service could please tell me what you used ? Did you just use UDP 8767 thats what I have done and I cannot seem to get it to work.....

Thanks...