使用 iptables 记录关闭的 tcp 连接

Question

我可以轻松地使用 iptables 记录新的 tcp 连接，如下所示：

iptables -A INPUT -p tcp --dport XYZ -m state --state NEW -j LOG

有没有办法在连接关闭时记录日志？

Answer 1

可能有更好的东西，但 tcp 协议会终止与 FIN 或 RST 数据包的连接。你可以匹配这些。

iptables -I INPUT -p tcp --dport XYZ --tcp-flags FIN FIN -j LOG
iptables -I INPUT -p tcp --dport XYZ --tcp-flags RST RST -j LOG

FIN 重复--tcp-flags使用 2 个参数，即要查看的标志以及要接受的组合的掩码。