initialer upload des projektes
This commit is contained in:
Hacklab1-hh
@@ -1,7 +1,3 @@
|
||||
# fbsyslogsender
|
||||
|
||||
Dieses Projekt ermöglicht ein lückenloses Monitoring von FRITZ!Box-Systemen (DSL, VPN, WLAN, Login) via Syslog, optimiert für Graylog und Elastic.
|
||||
|
||||
# FRITZ!Box Enterprise Monitor (Lua-Based)
|
||||
|
||||
Dieses Projekt ermöglicht ein lückenloses Monitoring von FRITZ!Box-Systemen (DSL, VPN, WLAN, Login) via Syslog, optimiert für Graylog und Elastic.
|
||||
@@ -38,9 +34,12 @@ Sicherung des aktuellen Standorts inkl. aller Hashes:
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
## Übersicht
|
||||
|
||||
## Dieses System überwacht eine FRITZ!Box (getestet mit FRITZ!OS 7.52+) auf System-Ereignisse und VPN-Statusänderungen. Da die Standard-Schnittstelle (TR-064) von AVM oft auf 5 Log-Einträge limitiert ist, nutzt dieses Skript die Lua-Sch>
|
||||
## Dieses System überwacht eine FRITZ!Box (getestet mit FRITZ!OS 7.52+) auf System-Ereignisse und VPN-Statusänderungen. Da die Standard-Schnittstelle (TR-064) von AVM oft auf 5 Log-Einträge limitiert ist, nutzt dieses Skript die Lua-Schnittstelle (Web-UI API), um das vollständige System-Log und detaillierte VPN-Statusinformationen abzugreifen.
|
||||
|
||||
## Funktionsweise
|
||||
|
||||
Authentifizierung: Das Skript meldet sich via Challenge-Response-Verfahren an der FRITZ!Box an und erhält eine Session-ID (SID).
|
||||
@@ -57,7 +56,7 @@ Sicherung des aktuellen Standorts inkl. aller Hashes:
|
||||
|
||||
## Installation & Deployment
|
||||
|
||||
### 1. Umgebungsvariablen (.env)
|
||||
# 1. Umgebungsvariablen (.env)
|
||||
Erstelle eine .env Datei mit folgendem Inhalt:
|
||||
env
|
||||
|
||||
@@ -74,23 +73,21 @@ SEND_INITIAL_LOG=True
|
||||
DEBUG_MODE=False
|
||||
|
||||
|
||||
|
||||
|
||||
### 2. Docker Compose
|
||||
## 2. Docker Compose
|
||||
Starten des Containers mit:
|
||||
bash
|
||||
|
||||
docker compose up -d --build
|
||||
|
||||
#### Troubleshooting ("Notfall-Guide")
|
||||
##### Falls keine Logs mehr im Syslog-Server ankommen:
|
||||
## Troubleshooting ("Notfall-Guide")
|
||||
# Falls keine Logs mehr im Syslog-Server ankommen:
|
||||
|
||||
Container-Logs prüfen: docker logs -f fritz-syslog-forwarder.
|
||||
SID-Fehler: Erscheint ein "Login-Fehler", prüfen ob das Passwort abgelaufen ist oder ob die FRITZ!Box eine 2FA-Bestätigung (Taste drücken) für den API-Zugriff verlangt.
|
||||
Netzwerk: Testen, ob der Container den Syslog-Server pingen kann.
|
||||
FRITZ!OS Update: Nach einem Firmware-Update könnte AVM die data.lua Pfade ändern. In diesem Fall muss die fetch_data Funktion im Skript geprüft werden.
|
||||
|
||||
#### Technische Details
|
||||
## Technische Details
|
||||
|
||||
Sprache: Python 3.11-slim
|
||||
Bibliotheken: requests, python-dotenv
|
||||
@@ -98,7 +95,7 @@ bash
|
||||
Datenquelle: data.lua?page=log und data.lua?page=vpn
|
||||
|
||||
|
||||
### 3. Hinweis zur Häufungserkennung
|
||||
## 3. Hinweis zur Häufungserkennung
|
||||
Die FRITZ!Box fasst identische Meldungen zusammen (z.B. Login-Versuche), um das Log nicht zu fluten. Durch das elif oben wird eine Zeile wie:
|
||||
Anmeldung des Benutzers syslog... [145 Meldungen seit 04.02.26 02:00:39]
|
||||
automatisch als Warning markiert. Das ist ideal für Graylog-Alerts, da du so sofort siehst, wenn ein Dienst (oder ein Angreifer) "Amok läuft".
|
||||
@@ -110,28 +107,28 @@ Zusammenfassung der Änderungen für deine Meta-Doku:
|
||||
|
||||
Sobald du die 7.62 installierst, schau im DEBUG_MODE besonders auf die VPN-Meldungen – AVM führt dort oft neue Verschlüsselungs-Bezeichnungen ein.
|
||||
|
||||
### 4. Erklärung der erweiterten Umgebungsvariablen (.env)
|
||||
Parameter Wert (Beispiel) Beschreibung
|
||||
SEND_INITIAL_LOG True/False Wenn True, wird beim Containerstart das gesamte vorhandene Log der FRITZ!Box gesendet. Bei False werden nur Ereignisse ab Startmoment übertragen.
|
||||
SYSLOG_EXTRACT_TIME True/False Extrahiert den Zeitstempel direkt aus der FRITZ!Box-Meldung (04.02.26 03:02). Garantiert sekundengenaue Logs, unabhängig von der Container-Zeit.
|
||||
SYSLOG_MIXED_JSON True/False Sendet eine hybride Nachricht: Erst der Klartext, dann der Trenner, dann strukturiertes JSON. Ideal für parallele Nutzung von Syslog-Viewern und Graylog.
|
||||
SYSLOG_JSON_ONLY True/False Sendet nach dem Syslog-Header ausschließlich das JSON-Objekt. Optimiert für Elasticsearch und Graylog (kein Parsing des Klartextes nötig).
|
||||
JSON_SEPARATOR " -_- " Definiert die Zeichenfolge, die bei MIXED_JSON zwischen Text und Daten steht. Dient Graylog als Anker für das Splitting.
|
||||
TZ Europe/Berlin Zeitzone für den Fall, dass die Zeitextraktion fehlschlägt oder VPN-Events (Echtzeit) gesendet werden.
|
||||
DEBUG_MODE True/False Schaltet ausführliche Ausgaben im Container-Log (docker logs) frei (Login-Status, gesendete Payloads, Hash-Checks).
|
||||
DEBUG2_IGNORE_CACHE True/False Vorsicht: Deaktiviert den Dubletten-Schutz. Sendet bei jedem Intervall das komplette Log erneut. Nur für kurzzeitige Fehlersuche nutzen!
|
||||
|
||||
### 5. Syslog-Prioritäten & Level-Mapping
|
||||
## 4. Erklärung der erweiterten Umgebungsvariablen (.env)
|
||||
Parameter Wert (Beispiel) Beschreibung
|
||||
SEND_INITIAL_LOG True/False Wenn True, wird beim Containerstart das gesamte vorhandene Log der FRITZ!Box gesendet. Bei False werden nur Ereignisse ab Startmoment übertragen.
|
||||
SYSLOG_EXTRACT_TIME True/False Extrahiert den Zeitstempel direkt aus der FRITZ!Box-Meldung (04.02.26 03:02). Garantiert sekundengenaue Logs, unabhängig von der Container-Zeit.
|
||||
SYSLOG_MIXED_JSON True/False Sendet eine hybride Nachricht: Erst der Klartext, dann der Trenner, dann strukturiertes JSON. Ideal für parallele Nutzung von Syslog-Viewern und Graylog.
|
||||
SYSLOG_JSON_ONLY True/False Sendet nach dem Syslog-Header ausschließlich das JSON-Objekt. Optimiert für Elasticsearch und Graylog (kein Parsing des Klartextes nötig).
|
||||
JSON_SEPARATOR " -_- " Definiert die Zeichenfolge, die bei MIXED_JSON zwischen Text und Daten steht. Dient Graylog als Anker für das Splitting.
|
||||
TZ Europe/Berlin Zeitzone für den Fall, dass die Zeitextraktion fehlschlägt oder VPN-Events (Echtzeit) gesendet werden.
|
||||
DEBUG_MODE True/False Schaltet ausführliche Ausgaben im Container-Log (docker logs) frei (Login-Status, gesendete Payloads, Hash-Checks).
|
||||
DEBUG2_IGNORE_CACHE True/False Vorsicht: Deaktiviert den Dubletten-Schutz. Sendet bei jedem Intervall das komplette Log erneut. Nur für kurzzeitige Fehlersuche nutzen!
|
||||
|
||||
## 5. Syslog-Prioritäten & Level-Mapping
|
||||
Das Skript übersetzt FRITZ!Box-Ereignisse automatisch in standardisierte Syslog-Severities (RFC 5424). Dies ermöglicht in Graylog/Zabbix eine sofortige Alarmierung basierend auf dem Feld level oder der Priority-ID.
|
||||
Severity ID Level Name Trigger im Skript (Keywords) Bedeutung
|
||||
2 CRITICAL 0x203e, 0x2027, ike-error Kritische VPN-Handshake-Fehler. Handlungsbedarf bei Site-to-Site.
|
||||
3 ERROR Fehler, Error, Failed, Abbruch, gescheitert Fehlgeschlagene Logins, DSL-Abbrüche, Internet-Trennung.
|
||||
4 WARNING [... Meldungen seit ...], Warnung, Warning, ursache Häufung von Ereignissen oder instabile Leitungen (Störsicherheit).
|
||||
6 INFO Alle anderen Meldungen WLAN-Anmeldungen, reguläre Reconnects, Systemstarts.
|
||||
Severity ID Level Name Trigger im Skript (Keywords) Bedeutung
|
||||
2 CRITICAL 0x203e, 0x2027, ike-error Kritische VPN-Handshake-Fehler. Handlungsbedarf bei Site-to-Site.
|
||||
3 ERROR Fehler, Error, Failed, Abbruch, gescheitert Fehlgeschlagene Logins, DSL-Abbrüche, Internet-Trennung.
|
||||
4 WARNING [... Meldungen seit ...], Warnung, Warning, ursache Häufung von Ereignissen oder instabile Leitungen (Störsicherheit).
|
||||
6 INFO Alle anderen Meldungen WLAN-Anmeldungen, reguläre Reconnects, Systemstarts.
|
||||
|
||||
|
||||
## Pro-Tipp für die Wartung:
|
||||
Sollte die FRITZ!Box nach einem Update auf 7.62 oder 8.0 keine Logs mehr senden, prüfen Sie im DEBUG_MODE, ob die fetch_data Funktion noch ein gültiges JSON-Objekt von der data.lua zurückerhält.
|
||||
Sollte die FRITZ!Box nach einem Update auf 7.62 oder 8.0 keine Logs mehr senden, prüfen Sie im DEBUG_MODE, ob die fetch_data Funktion noch ein gültiges JSON-Objekt von der data.lua zurückerhält.
|
||||
AVM neigt dazu, die Feldnamen (z.B. von vpnList zu vpn_list) bei Major-Updates leicht zu ändern.
|
||||
|
||||
|
||||
|
||||
Reference in New Issue
Block a user