☰

通事論

tag-icon • tag-icon debian ubuntu iptables logs ufw
通事論

ufw -hGUFWには、ルールに基づいてロギングをオンまたはオフにする機能がありますが、ルールのロギングをオンにするオプションは表示されません。

Ubuntuから：

To                         Action      From
--                         ------      ----
Anywhere                   DENY IN     Anywhere                   (log-all)

しかし、Debianは次のコマンドを試してみます。

sudo ufw allow proto tcp from x.x.x.x to any port 22 log all

そしてそれはうまくいきません。文書化されていない秘密の構文はありますか？それとも、GUFWはUFWのコアからiptablesルールを分離しますか？

答え1

log-allそして後ろにはハイフンで接続する必要がありますallow。正しいコマンドは

sudo ufw allow log-all proto tcp from x.x.x.x to any port 22

x.x.x.x予想されるIPに置き換えます。

通事論

構文は次の文書で文書化されています。マニュアルページ。

 ufw [--dry-run] [rule] [delete] [insert NUM] [prepend] allow|deny|reject|limit [in|out [on
       INTERFACE]] [log|log-all] [proto PROTOCOL] [from ADDRESS [port PORT | app APPNAME  ]]  [to
       ADDRESS [port PORT | app APPNAME ]] [comment COMMENT]

ルール構文セクションの最後のいくつかの段落では、これがどのように機能するかを説明し、より簡単な例を提供します。

 ufw supports per rule logging. By default, no logging is performed when a packet matches a rule. Specifying log  will  log
 all  new connections matching the rule, and log-all will log all packets matching the rule.  For example, to allow and log
 all new ssh connections, use:

   ufw allow log 22/tcp

 See LOGGING for more information on logging.

ほとんどのキーワードはオプションですが、順序は非常に厳密です。logor単語はインターフェース（、など）log-allの後になければなりません。インターフェイスが存在しない場合は、次のことを行う必要があります。 ///...on eth0on wlo0allowallow inallow outdeny

キーワードをlog別の場所に配置するとエラーが発生しますOption log not allowed here。

ルールを更新する方法

ルールを維持し、ロギングを無効にするには、log-allキーワードなしで再度コマンドを作成します。

sudo ufw allow proto tcp from x.x.x.x to any port 22

ufw will recognise this and respond with `Rule updated` instead of `Skipping adding existing rule`.

This also works to add or remove comments to your rules:

sudo ufwを使用すると、xxxxのすべてのネイティブTCPをポート22コメント「Incoming SSH」に書き込むことができます。

オプション：ルールに従ってロギングを実行する必要はありません。

LOGGINGセクションをチェックして、すべてのルール（および許可されたパケット）に関する追加情報を記録することもできます。

sudo ufw logging off
sudo ufw logging low
sudo ufw logging medium
sudo ufw logging high
sudo ufw logging full

ただし、マニュアルページでは、ログ記録レベルをデフォルト値（low）に設定することはお勧めできません。

不要な構成のヒント

ufwには、基本ポリシー（つまり、ルールセットに特に記載されていないすべての接続）のための別の構文があります。次のように明示的な「どこでも拒否」ルールを置き換えると、ルールセットを理解して維持するのが簡単になります。

sudo ufw default deny incoming
sudo ufw delete deny from any

ufwは、ロギングレベルが低いよりも高い場合、ブロックされたすべてのトラフィックを記録します。検査結果を活用できますsudo ufw status verbose。

Ubuntu Wikiにはセキュリティに関するページがあります。そのページを確認してください。推奨 ufw 設定。

関連情報