如何查看CentOS iptables日志

要查看CentOS系统中iptables的日志，需完成配置日志记录规则和查看日志两个核心步骤。以下是详细操作流程：

iptables本身不直接存储日志，需通过内核日志服务（rsyslog）记录。需先添加LOG规则到iptables链中（如INPUT、OUTPUT、FORWARD），并为日志添加可识别的前缀。
示例命令（以INPUT链为例）：

# 插入LOG规则到INPUT链开头（优先记录输入流量）
sudo iptables -I INPUT -j LOG --log-prefix "iptables-input: " --log-level 4

--log-prefix：为日志条目添加唯一前缀（便于后续过滤），如"iptables-input: "；
--log-level：设置日志级别（常用4为“warning”级别，平衡详细程度与性能）。
注意：若需长期保留规则，需保存iptables配置（见下文“保存规则”部分）。

iptables日志默认由rsyslog服务收集，可通过以下方式查看：

CentOS 6及以下版本：日志存储在/var/log/messages中，使用tail命令实时查看：
```
sudo tail -f /var/log/messages | grep "iptables-input:"
```
（grep用于过滤出带前缀的iptables日志条目）。
CentOS 7及以上版本：
- 通过journalctl查看rsyslog服务的日志（推荐）：
```
sudo journalctl -u rsyslog.service -f | grep "iptables-input:"
```
- 或直接查看内核日志（iptables日志属于内核层）：
```
sudo dmesg | grep "iptables-input:"
```。  
```

若需将iptables日志单独存储到指定文件（如/var/log/iptables.log），需修改rsyslog配置：

添加以下内容（将含“iptables-input: ”的日志写入/var/log/iptables.log）：

:msg, contains, "iptables-input: " -/var/log/iptables.log
& stop  # 防止日志重复写入其他文件

限制日志量：避免过多日志占用磁盘空间，可通过--log-level调整日志详细程度（如--log-level 6为“info”级别，记录更少信息）；
日志轮转：配置logrotate自动压缩/删除旧日志（编辑/etc/logrotate.d/rsyslog，添加/var/log/iptables.log的轮转规则）。。

0 赞

0 踩