В мануле написано:
В iptables используется для настройки, обслуживания и проверки таблицы правил фильтрации IP-пакетов в ядре Linux. Можно создать несколько разных таблиц. Каждая Таблица содержит большое количество встроенных целей, а также может содержать определенные пользователем цели.
По умолчанию, iptables пишет в лог файла /var/log/messages. Однако вы можете изменить это расположение. Я покажу вам, как создать новый лог-файл с именем /var/log/iptables.log. Изменяя или используя новый файл, это позволит создать вам более полный набор статистических данных и/или позволит анализировать атаки.
По умолчанию Iptables использует лог файл
Например, если ввести следующую команду, он будет отображать текущий iptables в журнале из файла /var/log/messages:
tail -f /var/log/messages
Вывод команды:
Oct 4 00:44:28 debian gconfd (vivek-4435): Resolved address "xml:readonly:/etc/gconf/gconf.xml.defaults" to a read-only configuration source at position 2 Oct 4 01:14:19 debian kernel: IN=ra0 OUT= MAC=00:17:9a:0a:f6:44:00:08:5c:00:00:01:08:00 SRC=200.142.84.36 DST=192.168.1.2 LEN=60 TOS=0x00 PREC=0x00 TTL=51 ID=18374 DF PROTO=TCP SPT=46040 DPT=22 WINDOW=5840 RES=0x00 SYN URGP=0 Oct 4 00:13:55 debian kernel: IN=ra0 OUT= MAC=ff:ff:ff:ff:ff:ff:00:18:de:55:0a:56:08:00 SRC=192.168.1.30 DST=192.168.1.255LEN=78 TOS=0x00 PREC=0x00 TTL=128 ID=13461 PROTO=UDP SPT=137 DPT=137 LEN=58
Процедура изменения записей сообщений iptables в другой лог файл:
Откройте лог файл /etc/syslog.conf:
nano /etc/syslog.conf
Добавьте следующую строку
kern.warning /var/log/iptables.log
Сохраните и закройте файл.
Перезагрузите демон syslogd (Debian / Ubuntu Linux):
/etc/init.d/sysklogd restart
С другой стороны, используйте следующую команду, чтобы перезапустить указанный демон syslogd для ОС Red Hat/Cent OS/Fedora Core Linux:
/etc/init.d/syslog restart
Now make sure you pass the log-level 4 option with log-prefix to iptables. For example:
Теперь убедитесь, что вы передать лог 4 уровня, добавьте опцию в лог-префикс iptables. Например:
# Отклонить все запросы и записать в лог файл iptables -A INPUT -j LOG --log-level 4 iptables -A INPUT -j DROP
Например, отклоненные запросы и лог всех подключений с IP-адреса 64.55.11.2 записаны в лог файле /var/log/iptables.log:
iptables -A INPUT -s 64.55.11.2 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix '** HACKERS **'--log-level 4 iptables -A INPUT -s 64.55.11.2 -j DROP
Где,
—log-level 4: Уровень ведения журнала. Уровень # 4 — это для предупреждения.
—log-prefix ‘*** TEXT ***’: Префикс лог-сообщений с указанного префикса (TEXT); до 29 букв, и поможет для различения сообщений в логах.
Теперь вы можете увидеть все сообщения iptables в лог файле /var/log/iptables.log:
tail -f /var/log/iptables.log