Я пытаюсь использовать цель TRACE для IPtables, но, похоже, мне не удается зарегистрировать какую-либо информацию трассировки. Я хочу использовать то, что здесь описано: Отладчик для Iptables.
От человека iptables для TRACE:
This target marks packes so that the kernel will log every rule which match the packets as those traverse the tables, chains, rules. (The ipt_LOG or ip6t_LOG module is required for the logging.) The packets are logged with the string prefix: "TRACE: tablename:chain- name:type:rulenum " where type can be "rule" for plain rule, "return" for implicit rule at the end of a user defined chain and "policy" for the policy of the built in chains. It can only be used in the raw table.
Я использую следующее правило: iptables -A PREROUTING -t raw -p tcp -j TRACE
но ничего не добавляется ни в / var / log / syslog, ни в /var/log/kern.log!
Не хватает еще одного шага? Я ищу не в том месте?
Несмотря на то, что я не могу найти записи журнала, цель TRACE, похоже, настроена правильно, поскольку счетчики пакетов увеличиваются:
# iptables -L -v -t raw
Chain PREROUTING (policy ACCEPT 193 packets, 63701 bytes)
pkts bytes target prot opt in out source destination
193 63701 TRACE tcp -- any any anywhere anywhere
Chain OUTPUT (policy ACCEPT 178 packets, 65277 bytes)
pkts bytes target prot opt in out source destination
Правило iptables -A PREROUTING -t raw -p tcp -j LOG
делает распечатать информацию о пакете в / var / log / syslog ... Почему не работает TRACE?
Похоже (т.е. работает для меня) с новым ядром это необходимо (для IPv4):
modprobe nf_log_ipv4
sysctl net.netfilter.nf_log.2=nf_log_ipv4
кредиты:
Я обнаружил, что мне нужно выполнить оба предыдущих ответа в следующем порядке:
sudo modprobe ipt_LOG
sudo sysctl net.netfilter.nf_log.2=ipt_LOG
Вот несколько вещей, которые я обнаружил в процессе.
Вы можете получить список допустимых регистраторов (вместе с текущим выбранным регистратором) со следующим:
cat /proc/net/netfilter/nf_log
Цифры здесь представляют собой номера семейств протоколов, как определено в /usr/include/bits/socket.h
. 2 это AF_INET
(это IPv4), а 10 - это AF_INET6
(IPv6).
Бегать:
modprobe ipt_LOG
Это исправило это для меня.
Это сработало для меня sudo sysctl net.netfilter.nf_log.2=ipt_LOG