如何使用firewalld記錄拒絕連接到特定端口？

Question

在我的新CentOS7盒子上我嘗試使用'new'firewalld，但是我無法記錄掉連接嘗試。 有人知道這個訣竅嗎？

我想：

firewall-cmd --zone=public --remove-service=ssh 
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.1.2.0/24" port port="22" protocol="tcp" log prefix="SSH-ALLOW_" accept' 
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.3.4.0/24" port port="22" protocol="tcp" log prefix="SSH-ALLOW_" accept' 
[here comes a VERY VERY long list of similar entries] 

而現在的問題是：如何指定從不被允許IP的連接嘗試日誌條目？ 類似非工作的東西：

firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="NOT-ONE-OF-THE-ABOVE" port port="22" protocol="tcp" log prefix="SSH-DENY_" drop' 

任何想法？

Answer 1

差不多。在這兩種情況下，反轉地址參數。

對於示例包括顯示兩個子網，更改原始：

firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="NOT-ONE-OF-THE-ABOVE" port port="22" protocol="tcp" log prefix="SSH-DENY_" drop' 

對於這些：

：

firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.1.2.0/24" invert=true port port="22" protocol="tcp" log prefix="SSH-DENY_" drop' 
firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.3.4.0/24" invert=true port port="22" protocol="tcp" log prefix="SSH-DENY_" drop' 

這將導致下面的IP表規則由firewalld創建

# iptables -S | grep _public_log 
-A IN_public -j IN_public_log 
-A IN_public_log ! -s 10.1.2.0/24 -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j LOG --log-prefix SSH-DENY_ 
-A IN_public_log ! -s 10.3.4.0/24 -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j LOG --log-prefix SSH-DENY_ 

iptables中兩個規則的區別在於'！'代表邏輯運算符「不」。你原來的規則iptables：

-A IN_public_deny -s 10.1.2.0/24 -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j DROP 
-A IN_public_log -s 10.1.2.0/24 -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j LOG --log-prefix SSH-DENY_ 

HTH。

Answer 2

我知道這是一個過時的帖子，我的解決方案並不直接解決特定端口的日誌記錄問題，但我一直在使用firewalld搜索日誌記錄。有許多舊帖子和博客試圖解決這個問題。

對於公衆，從紅帽此更新應該更可不僅僅是給用戶：

升級到勘誤RHSA-2016 firewalld-0.4.3.2-8.el7：2597

指定哪些包應被記錄

防火牆-CMD --set日誌被拒絕= 值可以是以下之一：所有，單播，廣播，多播或關閉

來源：https://access.redhat.com/solutions/1191593