![允许的 IP 被 UFW 记录为阻止](https://linux22.com/image/771343/%E5%85%81%E8%AE%B8%E7%9A%84%20IP%20%E8%A2%AB%20UFW%20%E8%AE%B0%E5%BD%95%E4%B8%BA%E9%98%BB%E6%AD%A2.png)
UFW 中针对 IP 的规则SR.CSR.CS.RC
是:
ufw allow from SR.CSR.CS.RC
如规则所述,SR.CSR.CS.RC
可以通过任何启用的端口访问此服务器。
但是,当UFW
启动并运行时,UFW
日志文件中会出现一些有关来自SR.CSR.CS.RC
IP 的请求已被阻止的行。
[UFW BLOCK] IN=ens3 OUT= MAC=11:00:11:00:11:ff:00:11:11:bb:ee:00:00:00 SRC=SR.CSR.CS.RC DST=D.ST.DST.DST LEN=52 TOS=0x00 PREC=0x00 TTL=63 ID=xyxyxy DF PROTO=TCP SPT=SPTSP DPT=SPTDP WINDOW=501 RES=0x00 ACK FIN URGP=0
SR.CSR.CS.RC
为什么当IP 具有完全访问权限时我会看到这些日志?是否可以将UFW
来自 IP 的请求SR.CSR.CS.RC
视为 DOS 攻击?
笔记: SR.CSR.CS.RC
是伪装的 IP
此条目是否与此相关:UFW 在开放端口上记录被阻止的请求,我遗漏了什么?
答案1
我在网上搜索了非常相似的问题,以下是我找到的。ufw 有几个规则文件:
规则之前- 在 ufw 命令行添加规则之前应运行的规则
用户规则- 这些是我们用 ufw 命令添加的规则
规则之后- 在 ufw 命令行添加规则后应运行的规则(IPv6 也是如此)
在 before.rules 中你可以找到这些内容:
# 丢弃无效的数据包(以中等或更高日志级别记录这些数据包) -A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny -A ufw-before-input -m conntrack --ctstate INVALID -j DROP
# 所有其他非本地数据包均被丢弃 -A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny -A ufw-not-local -j DROP
因此,我认为那些 [UFW BLOCK] 日志条目是由其中之一引起的 - 毕竟它们是日志记录的唯一规则。