Iptable Regel, um alle abgehenden Verbindungen außerhalb des Subnetzes zu protokollieren

Question

Ich möchte alle neuen ausgehenden TCP-Verbindungen protokollieren, mit Ausnahme von Verbindungen zu localhost und IPs im selben Netzwerk.

So stelle ich es ein, aber ich sehe ausgehende Verbindungen zu 127.0.0.1 und zu 192.168.1.122, was meine IP ist. Ich sehe auch ausgehende Verbindungen zu 192.168.1.121, die in demselben Subnetz sind.

sudo iptables -I OUTPUT -m state -p tcp --state NEW ! -s 127.0.0.1 ! -d 127.0.0.1 -m limit --limit 1/m --limit-burst 1 -j LOG --log-uid --log-prefix "Outbound Connection: " 

    for i in $(hostname -I) 
    do 
    echo $i 
    sudo iptables -I OUTPUT -m state -p tcp --state NEW -s 127.0.0.1 ! -d $i/24 -m limit --limit 1/m --limit-burst 1 -j LOG --log-uid --log-prefix "Outbound Connection: " 
    done 

Hier Ausgang ist nach diesem Skript iptables-save, habe ich den Ausgang snipped nur diese Regel zu erfassen.

-A INPUT -p tcp -m multiport --dports 0:65535 -j f2b-outbound 

    -A OUTPUT -s 127.0.0.1/32 ! -d 172.17.0.0/24 -p tcp -m state --state NEW -m limit --limit 5/min -j LOG --log-prefix "Outbound Connection: " --log-uid 
    -A OUTPUT -s 127.0.0.1/32 ! -d 10.97.11.0/24 -p tcp -m state --state NEW -m limit --limit 5/min -j LOG --log-prefix "Outbound Connection: " --log-uid 
    -A OUTPUT ! -s 127.0.0.1/32 ! -d 127.0.0.1/32 -p tcp -m state --state NEW -m limit --limit 5/min -j LOG --log-prefix "Outbound Connection: " --log-uid 
    -A OUTPUT -s 127.0.0.1/32 ! -d 172.17.0.0/24 -p tcp -m state --state NEW -m limit --limit 5/min -j LOG --log-prefix "Outbound Connection: " --log-uid 
    -A OUTPUT -s 127.0.0.1/32 ! -d 10.97.11.0/24 -p tcp -m state --state NEW -m limit --limit 5/min -j LOG --log-prefix "Outbound Connection: " --log-uid 
    -A OUTPUT ! -s 127.0.0.1/32 ! -d 127.0.0.1/32 -p tcp -m state --state NEW -m limit --limit 5/min -j LOG --log-prefix "Outbound Connection: " --log-uid 
    -A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 5432 -j ACCEPT 

Answer 1

Die Anschlüsse werden von Ihrem ersten iptables Linie angemeldet. Es wird alle Nicht-Localhost-Pakete übereinstimmen, da die Übereinstimmungskriterien Quelle nicht-localhost UND Ziel nicht-localhost sind. Auch Ihre zusätzlichen Regeln werden niemals übereinstimmen, da ein ausgehendes Paket nie eine Quelladresse von 127.0.0.1/8 (localhost subnet) hat.

Sie müssen von

die Zeile in Ihrer for Schleife ändern

sudo iptables -I OUTPUT -m state -p tcp --state NEW -s 127.0.0.1 ! -d $i/24 -m limit --limit 1/m --limit-burst 1 -j LOG --log-uid --log-prefix "Outbound Connection: " 

zu

sudo iptables -I OUTPUT -m state -p tcp --state NEW ! -d $i/24 -m limit --limit 1/m --limit-burst 1 -j LOG --log-uid --log-prefix "Outbound Connection: "