如何啟用 iptables log 紀錄機制

在日常維運中，有時候會遇到某些客戶的 IP 進不來，或是不該允許的 IP 卻可以進入伺服器的問題，而啟動 iptables 的 log 機制，有助於我們快速釐清問題，並達到稽核、分析等附加價值。

一、 啟動 iptables log

一開始最簡單的方式，就是讓進來的流量都記錄，以下指令可以達到此目的

iptables -A INPUT -j LOG

我們也可以只指定特定的網段來做紀錄

iptables -A INPUT -s 192.168.10.0/24 -j LOG

而如果要指定 log level 可以添加 -log-level 在指令內

iptables -A INPUT -s 192.168.10.0/24 -j LOG --log-level 7

最後，在加點 prefix ，方便我們從大量訊息中找到我們想記錄的 log

iptables -A INPUT -s 192.168.10.0/24 -j LOG --log-prefix "iptables log: "

二、 檢查是否開始寫入

當我們把規則寫進 iptables 的規則後，iptables 會開始紀錄 log ，而它們的路徑分別如下:

- Ubuntu

/var/log/kern.log

- CentOS / RHEL

/var/log/messages

三、 (選項) 過濾 kern / message log

如果你覺得寫在 kern / messages log 會太雜亂、難以閱讀。各位同學可以依照以下步驟，把 iptables 的 log 從 kern / message log 中過濾出來。

1、 新增 iptables.conf

在 /etc/rsyslog.d/目錄下，新增 iptables.conf。

- Ubuntu

vim /etc/rsyslog.d/49-iptables.conf

這邊用 ubuntu 的同學，可能要注意一下，非常重要! 檔名前面的數字一定要小於 default.conf

/etc/rsyslog.d/ ├── 20-ufw.conf ├── 21-cloudinit.conf └── 50-default.conf

例如在我的環境中，default.conf 被命名為 50-default.conf ，那我們這邊就用任何小於它的數字做為檔名開頭，否則後面的步驟可能會產生預期外的結果。

- CentOS / RHEL

而 CentOS / RHEL 的同學就用自己喜歡的命名方式命名即可

vim /etc/rsyslog.d/iptables.conf

四、 添加 rsyslog 規則

1、 將以下內容寫入設定檔

:msg,contains,"iptables log: " /var/log/iptables.log
& ~

& ~ 的意思是告訴 rsyslog 丟棄這些訊息，如果沒加這個的話，rsyslog 會在寫完後，觸發 default 設定，再寫一份至 message / kern。

而用 ubuntu 的朋友，如果你的檔名前面沒有帶數字、或是數字大於 default，會造成兩邊同時都有資料的窘境，因為 rsyslog 會先讀取 default 的設定，先寫一份至 kern ，然後才讀取 iptables.conf。所以，如果你只想紀錄一份 log ，請記得一定要用數字檔名開頭，並小於 default 設定檔的數字。

2、重啟 rsyslog

service rsyslog restart