RMB悬赏---IPtables 日志格式问题

solink

linux syslog输出NAT日志格式，格式包含内网IP源地址，外网IP源地址，目标IP地址，源端口，目标端口。有意有技术者请留言及联系方式。

独孤九贱

log target不是拿来做这个的吗？通过LOG到klog，再到syslogd……

Godbach

是啊，iptables 的log模块就可以啊。
最近为了做一些系统收到 SYN 和发送 SYNACK 的统计问题，就用了LOG模块，添加两条日志：

iptables -I INPUT -p tcp --dport 80 --syn -j LOG  --log-prefix "test " --log-tcp-sequence
iptables -I OUTPUT -p tcp --sport 80 --tcp-flags SYN,ACK,RST SYN,ACK -j LOG   --log-prefix "test "  --log-tcp-sequence

可以实现记录所有进入系统的 SYN 和系统发出的 SYNACK
然后查看系统日志即可找到具体的记录。

Godbach

记录的日志：

[root@Godbach tmp]# grep test  /var/log/messages | tail -2
Aug 17 10:15:06 localhost kernel: test IN=eth0 OUT= MAC=00:0c:29:2e:97:cd:00:15:58:d6:6c:0d:08:00 SRC=192.168.6.53 DST=192.168.6.50 LEN=64 TOS=0x00 PREC=0x00 TTL=64 ID=20858 DF PROTO=TCP SPT=2953 DPT=80 SEQ=4170166128 ACK=0 WINDOW=65535 RES=0x00 SYN URGP=0
Aug 17 10:15:06 localhost kernel: test IN= OUT=eth0 SRC=192.168.6.50 DST=192.168.6.53 LEN=52 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=TCP SPT=80 DPT=2953 SEQ=841274059 ACK=4170166129 WINDOW=5840 RES=0x00 ACK SYN URGP=0

solink

标准的SYSLOG NAT日志格式只记录两个IP，源IP和目标IP，缺少NAT后的源IP，我悬赏解决这个问题。

独孤九贱

标准的SYSLOG NAT日志格式只记录两个IP，源IP和目标IP，缺少NAT后的源IP，我悬赏解决这个问题。
solink 发表于 2010-08-20 20:55

唔，这倒是个问题，不过也不难解决……

Godbach

嗯，LZ可以和九贱兄深入联系一下进一步开发事宜:wink:

solink

顶一下。

ShadowStar

写个类似LOG的模块，自己取一下conntrack的tuple就OK了。

Very Very Easy