firewalld: логировать только отклоненные пакеты ipv6

Вопрос или проблема

Ответ или решение

Проблема настройки логирования в firewalld для IPv6 пакетов, которые были отклонены, безусловно, решаема, хотя требует определенной настройки. Давайте рассмотрим, как это можно осуществить.

Понимание возможности firewalld

Firewalld по своей природе является фронтендом для управления системными брандмауэрами в Linux, включая правила iptables и nftables. Он предоставляет удобный интерфейс для управления сложными конфигурациями сетевой безопасности.

Возможности logDenied

Конфигуративный параметр LogDenied позволяет логировать отклоненные пакеты, но, как вы заметили, он не предоставляет достаточной гранулярности для лога только IPv6 пакетов или нефильтрованных IPv4 пакетов. Для достижения необходимой специфики, нужно использовать более детализированные правила с использованием nftables.

Настройка специального правила nftables

Nftables предоставляют более гибкий способ управления правилами с возможностью точно указать, какие пакеты логировать.

Шаги настройки:

1. Убедитесь, что nftables установлен и активен. Это можно проверить командами:

   nft --version
   sudo systemctl status nftables

2. Создание кастомных правил для log отказанных только IPv6 пакетов.

   Вы можете непосредственно использовать nftables для добавления правила, которое будет логировать только отклоненные IPv6 пакеты. Пример команды может выглядеть следующим образом:

   nft add rule inet filter input ip6 daddr <your_ip6_address_here> counter log prefix "IPv6 DENIED: " level info

   Пояснения к команде:

   • inet filter указывает на цепочку фильтров в пространстве имен ‘inet’, которое поддерживает как IPv4, так и IPv6.
   • input – обозначает входящие пакеты.
   • ip6 daddr – устанавливает фильтр для пакетов с адресом назначения IPv6.
   • counter – подсчитывает количество пакетов, соответствующих этому правилу.
   • log – активирует логирование; можно настроить префикс и уровень сообщения.

3. Интеграция с firewalld:

   Чтобы интегрировать эти правила внутри firewalld, возможно, требуется создать кастомную зональную или сервисную конфигурацию, либо напрямую редактировать кастомные rules-файлы firewalld.

   • Используйте конфигурационные скрипты в /etc/firewalld/, чтобы добавлять исполняемые правила при старте.

4. Проверка и оптимизация конфигурации:

   • Перезапустите firewalld после изменения конфигурации:

     sudo firewall-cmd --reload

   • Проверяйте логи, чтобы быть уверенными, что только IPv6 пакеты логируются в соответствии с вашими настройками.

Заключение

Хотя firewalld не предоставляет прямого способа логирования только для IPv6 пакетов через LogDenied, сочетание firewalld и nftables позволяет создать необходимую конфигурацию. Это требует определенного уровня технической экспертизы, но предоставляет значительную гибкость и контроль над логированием сетевого трафика.