Як увімкнути ціль TRACE TarACE на Debian Squeeze (6)

Я намагаюся використовувати ціль TRACE IPtables, але я не можу отримати інформацію про сліди. Я хочу використовувати те, що тут описано: Налагоджувач для Iptables .

Від iptables man для TRACE:

   This target marks packes so that the kernel will log every  rule  which
   match  the  packets  as  those traverse the tables, chains, rules. (The
   ipt_LOG or ip6t_LOG module is required for the  logging.)  The  packets
   are   logged   with   the   string   prefix:  "TRACE:  tablename:chain-
   name:type:rulenum " where type can be "rule" for plain  rule,  "return"
   for  implicit  rule at the end of a user defined chain and "policy" for
   the policy of the built in chains.
   It can only be used in the raw table.

Я використовую таке правило: iptables -A PREROUTING -t raw -p tcp -j TRACEале нічого не додається ні в / var / log / syslog, ні в /var/log/kern.log!

Чи є ще один крок? Я дивлюся в неправильному місці?

редагувати

Незважаючи на те, що я не можу знайти записи журналу, ціль TRACE, здається, встановлена ​​правильно, оскільки лічильники пакетів збільшуються:

# iptables -L -v -t raw
Chain PREROUTING (policy ACCEPT 193 packets, 63701 bytes)
 pkts bytes target     prot opt in     out     source               destination
  193 63701 TRACE      tcp  --  any    any     anywhere             anywhere

Chain OUTPUT (policy ACCEPT 178 packets, 65277 bytes)
 pkts bytes target     prot opt in     out     source               destination

редагувати 2

Правило iptables -A PREROUTING -t raw -p tcp -j LOG робить інформацію друку пакета в / вар / Журнал / системний журнал ... Чому не відстежує роботу?

Виконати:

modprobe ipt_LOG

Це зафіксувало це для мене.

Схоже (працює для мене) з новим ядром, це потрібно (для IPv4):

modprobe nf_log_ipv4
sysctl net.netfilter.nf_log.2=nf_log_ipv4

кредити:

• https://www.centos.org/forums/viewtopic.php?f=47&t=54411
• відмовившись від інших відповідей, оскільки вони дали мені важливі підказки

Я виявив, що мені потрібно виконати обидві попередні відповіді в такому порядку:

sudo modprobe ipt_LOG
sudo sysctl net.netfilter.nf_log.2=ipt_LOG

Ось кілька речей, які я виявив по дорозі.

Ви можете отримати список дійсних реєстраторів (разом із поточно вибраним реєстратором) із наступним:

cat /proc/net/netfilter/nf_log

Цифри тут представляють сімейні номери протоколів, як визначено в /usr/include/bits/socket.h. 2 є AF_INET(це IPv4), а 10 - AF_INET6(IPv6).

Це працювало для мене sudo sysctl net.netfilter.nf_log.2=ipt_LOG