iptables를 통해 삭제된 트래픽에 대한 측정항목을 어떻게 얻을 수 있나요?

Question

iptables의 각 규칙에는 옵션을 통해 표시할 수 있는 카운터가 있습니다 -v. -x카운터가 매우 큰 경우(예: 1104K) 카운터가 축약되는 것을 방지하기 위해 추가되었습니다 . 예를 들어,

$ sudo iptables -L -n -v -x
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target prot opt in out source    destination 
   39 22221 ACCEPT udp  --  *  *   0.0.0.0/0  0.0.0.0/0 udp spts:67:68 dpts:67:68
 ...
  182 43862 LOG    all  --  *  *   0.0.0.0/0  0.0.0.0/0 LOG flags 0 level 4 prefix "input_drop: "
  182 43862 REJECT all  --  *  *   0.0.0.0/0  0.0.0.0/0 reject-with icmp-host-prohibited

내 로컬 네트워크에는 삭제된 패킷이 표시되지 않지만 나열된 것과 같은 로그 메시지와 함께 icmp에 의해 182가 거부됩니다. DROP 정책이 포함된 구성의 마지막 두 규칙은 다음과 같습니다.

  -A INPUT -j LOG --log-prefix "input_drop: "
  -A INPUT -j REJECT --reject-with icmp-host-prohibited

모든 체인의 카운터를 0으로 재설정하는 데 사용할 수 있습니다 iptables -Z.

이 수는 iptables 자체에 의해 삭제된 패킷에 적용됩니다. 그러나 정체 등으로 인해 패킷을 삭제하는 다른 필터링 소프트웨어가 있을 수도 있습니다. 그들이 제공하는 통계를 이해하려면 각각을 살펴봐야 합니다. (오래된) netstat프로그램은 iptables에 전달되기 전에도 정체로 인해 이더넷 인터페이스에서 삭제된 패킷 수를 쉽게 표시할 수 있습니다.

$ netstat -i 
Iface      MTU    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR 
enp5s0    1500  1097107      0     38 0       2049166      0      0      0

다양한 이유로 커널이 다른 곳에서 삭제한 패킷에 대한 일부 통계를 얻을 수도 있습니다.

$ netstat -s | grep -i drop
27 outgoing packets dropped
16 dropped because of missing route
2 ICMP packets dropped because socket was locked

Answer 1