Linux防火墙日志怎样查看分析

Linux防火墙日志查看与分析

一、先确认防火墙类型与日志开关

• 查看是否为 firewalld：执行 firewall-cmd --state；查看规则用 firewall-cmd --list-all。若为 firewalld，建议开启被拒日志：firewall-cmd --set-log-denied=all --permanent && firewall-cmd --reload（可选值：all/unicast/broadcast/multicast/off，默认 off）。
• 若为 iptables/nftables：用 iptables -L -n -v --line-numbers 查看规则顺序与命中；日志默认走内核日志（rsyslog），常见落盘为 /var/log/messages 或 /var/log/syslog，取决于系统与 rsyslog 配置。

二、查看日志的常用方法

• firewalld
  • 服务日志：journalctl -u firewalld -f（实时跟踪）。
  • 被拒包日志：默认在 /var/log/messages；若做了 rsyslog 分离，则在 /var/log/firewalld.log。
• iptables
  • 实时查看：tail -F /var/log/messages | grep 'iptables:' 或 tail -F /var/log/syslog | grep 'iptables:'。
• 统一检索技巧：按时间窗口 journalctl --since "2025-12-01 00:00:00" --until "2025-12-01 23:59:59"；按关键字如 DROP/REJECT/iptables 过滤。

三、日志落盘与分离配置

• 将 firewalld 的拒绝日志单独保存（rsyslog）
  • 新建 /etc/rsyslog.d/firewalld.conf：
    :msg,contains,“_DROP” /var/log/firewalld.log
    & stop
    :msg,contains,“_REJECT” /var/log/firewalld.log
    & stop
  • 重启 rsyslog：systemctl restart rsyslog。
• 将 iptables 日志单独保存（rsyslog）
  • 在 /etc/rsyslog.conf 或 /etc/rsyslog.d/50-default.conf 增加：kern.warning /var/log/iptables.log
  • 重启 rsyslog：systemctl restart rsyslog。
• 日志轮转（避免占满磁盘）
  • 使用 logrotate 对 /var/log/iptables.log、/var/log/firewalld.log 等设置按日轮转、压缩与保留天数（如保留 7 天）。

四、快速分析与排障命令

• 统计被拒最多的源 IP（firewalld 分离日志场景）
  • awk '{print $10}' /var/log/firewalld.log | grep -o 'SRC=[0-9a-fA-F.:]\+' | sort | uniq -c | sort -nr | head
• 按端口维度查看被拒情况
  • grep DPT /var/log/firewalld.log | awk '{print $19}' | sort -n | uniq -c | sort -nr | head（TCP）；UDP 可改为 $20。
• 实时观察新拒绝事件
  • tail -F /var/log/firewalld.log | egrep '(_DROP|_REJECT)'
• 定位规则是否生效
  • iptables -L -n -v --line-numbers（看命中计数与顺序）；必要时在相应链前插入 LOG 规则做“只记录不阻断”的验证。
• 抓包联动排查
  • tcpdump -ni eth0 'tcp port 22 or udp port 53'（与日志时间窗口对齐，验证是否为真实流量）。

五、常见模式与处置建议

• 针对 SSH(22) 的密集失败尝试：短时间内同一 SRC 多次被拒，可能为暴力破解；可结合 fail2ban、限制来源网段、仅允许跳板机访问。
• 端口扫描 特征：同一 SRC 在短时间内访问大量不同 DPT；可启用更严格的区域策略、限制 ICMP/不必要端口访问。
• DoS/DDoS 迹象：多源短时高并发连接或异常 SYN 洪泛；可启用速率限制、连接数限制、上游清洗/云防护。
• 异常 出站 连接：内网主机主动连向可疑 DST:端口（如 6667/31337 等），需核查主机是否被入侵。
• 注意 Docker 场景：容器端口映射可能“绕过”预期的区域策略，需在 firewalld 中正确配置 zone 与 rich rules，或在宿主机层面统一策略。