iptables可通过LOG目标记录网络层和传输层元数据（如IP、端口、协议等），但不记录应用层载荷；进阶方案NFLOG+ulogd2可获取更完整包头信息，仍不捕获HTTP/SSH等内容。
在 Linux 中，iptables 本身不直接提供“详细报文审计记录”功能，但可通过 LOG 目标结合系统日志机制（如 rsyslog 或 journalctl）实现对非法访问尝试的**原始报文元数据记录**（如源/目的IP、端口、协议、TCP标志、TTL、包长等）。注意：它**不记录应用层载荷（如HTTP内容、密码）**，仅记录网络层和传输层头部信息。
启用 iptables LOG 目标并配置日志级别
LOG 是 iptables 的一个扩展目标，用于将匹配的数据包信息写入内核日志（dmesg 或 /var/log/kern.log 等）。需确保内核已启用 CONFIG_NETFILTER_XT_TARGET_LOG（主流发行版默认开启）。
- 添加一条记录所有被 DROP 的入站连接（示例）：
sudo iptables -A INPUT -m state --state INVALID -j LOG --log-prefix "[INVALID] " --log-level 4 -
--log-prefix添加可识别前缀，便于日志过滤；--log-level 4对应WARNING级别（对应/var/log/kern.log或journalctl -k） - 建议配合
-j DROP使用，否则只记录不拦截：sudo iptables -A INPUT -s 192.168.100.200 -j LOG --log-prefix "[BLOCK-SCAN] "sudo iptables -A INPUT -s 192.168.100.200 -j DROP
确保日志持久化与合理轮转
默认内核日志可能被覆盖或受限。需配置 rsyslog 将 kern.* 或含特定前缀的日志分离保存：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 编辑
/etc/rsyslog.d/10-iptables.conf：:msg, contains, "[BLOCK]" /var/log/iptables.log& stop - 重启服务：
sudo systemctl restart rsyslog - 为防日志膨胀，配置 logrotate（如
/etc/logrotate.d/iptables）：
/var/log/iptables.log {<br> daily<br> missingok<br> rotate 30<br> compress<br> delaycompress<br> notifempty<br> }
记录更丰富的字段：启用 NFLOG + ulogd（进阶方案）
若需比 LOG 更完整的包头信息（如 TCP 序列号、窗口、IP 选项、MAC 地址），推荐使用 NFLOG 目标配合用户态守护进程 ulogd2：
- 安装：
sudo apt install ulogd2（Debian/Ubuntu）或sudo yum install ulogd2（RHEL/CentOS） - 启用
nfnetlink_log模块：sudo modprobe nfnetlink_log - 配置 iptables：
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j NFLOG --nflog-group 1 - 配置
/etc/ulogd.conf，启用nflog插件并指定 group=1，输出格式设为 JSON 或 PCAP（支持完整包头） - 启动：
sudo systemctl enable --now ulogd2
关键注意事项与限制
务必理解该方案的能力边界：
-
不记录应用层内容：HTTP URL、POST 数据、SSH 密码等均不可见（需用
tcpdump或 IDS 如 Suricata） - 性能影响显著：每包记录会增加 CPU 和 I/O 开销，生产环境避免对全量流量启用 LOG/NFLOG
- 日志易被绕过：攻击者使用分片、IPv6、隧道等方式可能规避规则匹配
-
时间精度有限：
LOG时间戳为内核日志写入时刻，非包到达时刻；ulogd2 + NFLOG可获取更准时间戳 -
IPv6 需单独配置：使用
ip6tables，规则语法一致但链名不同（如ip6tables -A INPUT ...）
