5.17. 为 Denied Packets 配置日志记录

使用 firewalld 中的 LogDenied 选项，可以为拒绝的数据包添加一个简单的日志记录机制。这些是被拒绝或丢弃的数据包。要更改日志的设置，请编辑 /etc/firewalld/firewalld.conf 文件，或者使用命令行或 GUI 配置工具。

如果启用了 LogDenied，则会在 INPUT、FORWARD 和 OUTPUT 链中的 reject 和 drop 规则之前添加日志规则，以及区域中的最终拒绝和丢弃规则。此设置可能的值有： all、unicast、broadcast、multicast 和 off。默认设置为 off。使用 单播、广播 和多播 设置时，pkttype 匹配用于匹配链路层数据包类型。使用 所有 时，所有数据包都会记录。

要使用 firewall-cmd 列出实际的 LogDenied 设置，请以 root 用户身份运行以下命令：

firewall-cmd --get-log-denied

~]# firewall-cmd --get-log-denied
off

要更改 LogDenied 设置，请以 root 用户身份运行以下命令：

firewall-cmd --set-log-denied=all

~]# firewall-cmd --set-log-denied=all
success

要使用 firewalld GUI 配置工具更改 LogDenied 设置，请启动 firewall-config，点 Options 菜单并选择 Change Log Denied。此时会出现 LogDenied 窗口。从菜单中选择新的 LogDenied 设置，然后单击 OK。