了解UFW日志

Question

这个UFW日志是什么意思？已经问了一个类似的问题，但我想明确地知道 UFW 日志的每一行是什么意思

Feb  6 16:27:08 jonasgroenbek kernel: [71910.873115] 
[UFW BLOCK] IN=eth0 OUT= 
MAC=a6:8d:e2:51:62:4c:f0:4b:3a:4f:80:30:08:00 
SRC=77.72.85.26 DST=157.230.26.180
LEN=40 TOS=0x00 PREC=0x00 TTL=251 ID=62215 PROTO=TCP 
SPT=42772 DPT=3194 WINDOW=1024                        
RES=0x00 SYN URGP=0

对于我（希望其他人）的可行性，我非常希望每个单独的部分都能得到简短的描述。

Answer 1

UFW 只是 iptables 的前端，所以那些日志条目实际上来自 iptables。

第 1 行： Feb 6 16:27:08 jonasgroenbek kernel: [71910.873115]

日期和时间、您的计算机名称以及自启动以来的内核时间。

第 2 行： [UFW BLOCK] IN=eth0 OUT=

每当 iptables 执行日志条目时，都会有一个可选的--log-prefix，在这种情况下[UFW BLOCK]。UFW 非常令人讨厌的事情是它对每种类型的日志条目使用相同的前缀，这使得很难与 iptables 规则集相关联。该IN是网络接口的名称，该数据包到达。该OUT是空的，因为该数据包是不是被重新传输，这可能是这种情况，如果这是一个路由器的应用。

第 3 行： MAC=a6:8d:e2:51:62:4c:f0:4b:3a:4f:80:30:08:00

这些是本地目标 (a6:8d:e2:51:62:4c (eth0)) 和源 (f0:4b:3a:4f:80:30) 网络接口卡的机器地址代码。在您的情况下，来源可能是您的 ISP 网关 NIC 的 MAC。每个 6 个字节。末尾的额外 2 个字节 (08:00) 是帧类型，在这种情况下，它表示“以太网帧携带 IPv4 数据报”。

第 4 行： SRC=77.72.85.26 DST=157.230.26.180

这些是数据包来自哪里的 IP 地址，SRC，以及它应该去哪里，DST，并且应该是您的 IP 地址。

第 5 行： LEN=40 TOS=0x00 PREC=0x00 TTL=251 ID=62215 PROTO=TCP

原始数据包的有效载荷部分的长度；服务类型，存在，生存时间（在数据包因跳数过多而死亡之前还剩多少跳数）；鉴别; 协议（在本例中为 TCP）。

第 6 行： SPT=42772 DPT=3194 WINDOW=1024

源端口；厌恶港口；TCP窗口大小

第 7 行： RES=0x00 SYN URGP=0

TCP 标志，这里重要的是“SYN”，意思是它试图建立一个新的连接。此日志条目表示尝试已被阻止。