Ведение журнала GUFW неясно
Редактировать : после первого комментария я адаптировал вопрос
При добавлении правила в GUFW/Advanced существует три варианта ведения журнала. От man ufw page/sectin LOGGING я узнал
- не входить - ничего не регистрировать
- log - регистрирует все заблокированные пакеты для этого правила и, возможно, новые / недействительные пакеты. Есть ограничение скорости
- log-all - регистрирует все пакеты с ограничением скорости
Поскольку у ufw есть уровни журналов (выкл. / Низко / средний / высокий / полный), неясно, что такое отображение, но кажется, что все, кроме "выкл.", Должно регистрировать все пакеты, которые перехвачены правилом, в котором установлен журнал.
Согласно man ufw logging входит в системный журнал вместе со множеством других суффиксов. Поэтому естественно, что я ожидаю, что страница журнала GUI покажет эти записи журнала.
Однако мне не удалось получить какие-либо записи журнала пакетов, перечисленные в области "Журнал". Как это можно сделать?
1 ответ
Графический интерфейс не показывает журнал.
Журнал идет в журнал. Лучше всего это видно с помощью консольной команды
sudo journalctl -f
[UFW AUDIT] IN= OUT=eno1 SRC=192.168.1.1 DST=151.101.1.69 LEN=52 TOS=0x00 PREC=0x00 TTL=64 ID=37400 DF PROTO=TCP SPT=52452 DPT=443 WINDOW=1102 RES=0x00 ACK URGP=0
Это показывает актуальные добавленные записи журнала. Здесь разрешено исходящее соединение с удаленным IP-адресом 151.101.1.69 с TCP на порту 443. Вы можете использовать это для точной настройки параметров брандмауэра, например, если вы хотите также ограничить исходящий трафик.
Уровень журнала должен быть установлен на «низкий» с помощью следующей команды, поскольку журналы быстро увеличиваются до нескольких гигабайт.
sudo ufw logging low