Я пытаюсь понять, как организован формат журнала. У меня вопрос, почему блок ICMP идет с каким-то вложением другого пакета TCP / UDP. Как я должен понимать это [включить] и как этот пакет соотносится с пакетом ICMP?
ядро: [172040.205327] [UFW BLOCK] IN = eth0 ... SRC = 114.236.141.172 DST = 10.128.0.90 ... TTL = 51 ID = 16875 PROTO = ICMP TYPE = 3 CODE = 10 [SRC = 10.128.0.90 DST = 114.236.141.172 LEN = 40 TOS = 0x00 PREC = 0x00 TTL = 242 ID = 42243 PROTO = TCP SPT = 34363 DPT = 9001 WINDOW = 0 RES = 0x00 SYN URGP = 0]
Несколько реальных примеров:
May 25 22:03:55 wserver kernel: [ 3947.677603] [UFW BLOCK] IN=eth0 OUT= MAC=d0:0d:bb:4b:49:33:00:00:5e:00:01:00:08:00 SRC=31.169.86.96 DST=10.128.0.90 LEN=91 TOS=0x00 PREC=0x60 TTL=51 ID=15517 PROTO=ICMP TYPE=3 CODE=3 [SRC=10.128.0.90 DST=31.169.86.96 LEN=63 TOS=0x00 PREC=0x00 TTL=244 ID=57829 PROTO=UDP SPT=80 DPT=53 LEN=43 ]
May 25 22:05:43 wserver kernel: [ 4055.788663] [UFW BLOCK] IN=eth0 OUT= MAC=d0:0d:bb:4b:49:33:00:00:5e:00:01:00:08:00 SRC=105.188.134.176 DST=10.128.0.90 LEN=91 TOS=0x00 PREC=0x60 TTL=51 ID=43291 PROTO=ICMP TYPE=3 CODE=3 [SRC=10.128.0.90 DST=105.188.134.176 LEN=63 TOS=0x08 PREC=0x20 TTL=246 ID=5800 PROTO=UDP SPT=80 DPT=53 LEN=43 ]
May 26 20:45:27 wserver kernel: [172040.205327] [UFW BLOCK] IN=eth0 OUT= MAC=d0:0d:bb:4b:49:33:00:00:5e:00:01:00:08:00 SRC=114.236.141.172 DST=10.128.0.90 LEN=68 TOS=0x00 PREC=0x60 TTL=51 ID=16875 PROTO=ICMP TYPE=3 CODE=10 [SRC=10.128.0.90 DST=114.236.141.172 LEN=40 TOS=0x00 PREC=0x00 TTL=242 ID=42243 PROTO=TCP SPT=34363 DPT=9001 WINDOW=0 RES=0x00 SYN URGP=0 ]
May 26 22:13:58 wserver kernel: [177351.825395] [UFW BLOCK] IN=eth0 OUT= MAC=d0:0d:bb:4b:49:33:00:00:5e:00:01:00:08:00 SRC=50.97.40.71 DST=10.128.0.90 LEN=576 TOS=0x00 PREC=0x60 TTL=50 ID=23007 PROTO=ICMP TYPE=3 CODE=10 [SRC=10.128.0.90 DST=50.97.40.71 LEN=1500 TOS=0x00 PREC=0x00 TTL=239 ID=64030 PROTO=ESP SPI=0x0 ]
Сообщения об ошибках ICMP включают заголовок ip + 64 бита исходной дейтаграммы данных. Это помогает определить, к какому пакету относится это сообщение об ошибке.
В твоем случае:
ICMP TYPE=3
средства "пункт назначения недоступен"ICMP CODE=10
средства "администратор хоста запрещен"[ SRC=10.128.0.90 DST=114.236.141.172 ... PROTO=TCP SPT=34363 DPT=9001 ]
заголовок IPv4 + начало исходная отклоненная дейтаграмма.Увидеть RFC 792, стр. №3 для подробностей.