在管理和维护 CentOS 服务器时，监控和记录特定端口的访问情况是保障系统安全、进行故障排查和性能分析的重要手段，通过有效的日志记录，管理员可以及时发现潜在的攻击行为、分析网络流量模式，并验证服务是否正常响应，本文将详细介绍在 CentOS 系统中记录端口访问的几种主流方法，包括使用 firewalld、iptables 和 auditd,并对它们的特点和适用场景进行比较。
使用 firewalld 进行端口访问日志记录
firewalld 是 CentOS 7 及更高版本中默认的动态防火墙管理工具，它提供了丰富的功能，富规则”允许我们实现更精细的流量控制,包括日志记录。
富规则可以让你定义比基本端口允许/拒绝更复杂的策略，要记录某个端口的访问，我们可以添加一条带有 log 动作的富规则。
操作步骤：
假设我们需要记录所有对 TCP 80 端口（HTTP服务）的访问尝试。
添加富规则并设置日志
使用firewall-cmd命令添加一条规则，这条规则会记录所有访问 80 端口的连接,并限制日志频率以防洪水攻击。sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="80" protocol="tcp" log prefix="HTTP_ACCESS: " level="notice" limit value="5/m"'
命令解析：
--permanent: 使规则永久生效,重启后依然存在。--add-rich-rule='...': 定义一条富规则。family="ipv4": 规则适用于 IPv4 协议。port port="80" protocol="tcp": 目标端口为 80，协议为 TCP。log: 执行日志记录动作。prefix="HTTP_ACCESS: ": 在日志条目前添加一个易于识别的前缀。level="notice": 设置日志级别（如 emerg, alert, crit, error, warning, notice, info, debug）。limit value="5/m": 限制日志记录频率为每分钟最多 5 条,防止日志文件被迅速填满。
重新加载防火墙配置
添加永久规则后，需要重新加载firewalld使其生效。sudo firewall-cmd --reload
查看日志
日志默认会被记录到系统日志中,你可以通过以下命令查看：sudo journalctl -k | grep "HTTP_ACCESS:" # 或者查看 /var/log/messages 文件 sudo grep "HTTP_ACCESS:" /var/log/messages
使用 iptables 进行端口访问日志记录
对于使用 iptables 作为防火墙的系统（如 CentOS 6 或某些自定义环境），可以通过 LOG 目标来记录数据包。
操作步骤：
假设我们要记录所有对 TCP 22 端口（SSH服务）的连接尝试。
添加 LOG 规则
在INPUT链中插入一条规则,将匹配的数据包记录到日志。sudo iptables -I INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH_ATTEMPT: " --log-level 4
命令解析：
-I INPUT: 将规则插入到INPUT链的顶部。-p tcp --dport 22: 匹配协议为 TCP 且目标端口为 22 的数据包。-j LOG: 动作为记录日志。--log-prefix "SSH_ATTEMPT: ": 设置日志前缀。--log-level 4: 设置日志级别（4 对应 warning）。
保存规则
iptables规则在重启后会丢失,需要保存。sudo service iptables save
查看日志
与firewalld类似,日志同样记录在系统日志中。sudo grep "SSH_ATTEMPT:" /var/log/messages
使用 auditd 进行系统级审计
auditd 是 Linux 的审计守护进程，它提供了一套更强大的系统级审计功能，可以监控文件访问、系统调用以及网络连接等，使用 auditd 记录端口访问可以提供更详细的信息,但配置也相对复杂。
操作步骤：
安装并启动 auditd
auditd默认已安装，如未安装，可执行sudo yum install audit,确保其服务已启动。sudo systemctl start auditd sudo systemctl enable auditd
添加审计规则
使用auditctl命令添加规则，监控所有对 9999 端口的连接或绑定操作，注意，端口号需要转换为十六进制，9999 的十六进制是0x270F。# 监控连接(connect)和绑定(bind)系统调用 sudo auditctl -a always,exit -F arch=b64 -S connect,bind -F a1=0x270F -k port_9999
命令解析：
-a always,exit: 在系统调用退出时始终记录。-F arch=b64: 监控 64 位架构的系统调用。-S connect,bind: 监控connect和bind两种系统调用。-F a1=0x270F: 过滤条件，系统调用的第二个参数（a1）等于0x270F（即 9999 端口）。-k port_9999: 为这条规则设置一个关键字,方便后续搜索。
查看审计日志
审计日志存储在/var/log/audit/audit.log，使用ausearch工具可以方便地查询。sudo ausearch -k port_9999
方法对比
| 方法 | 易用性 | 信息详细度 | 性能影响 | 主要适用场景 |
|---|---|---|---|---|
| firewalld | 高 | 中等 | 较低 | CentOS 7+ 环境，需要简单、快速的端口访问日志 |
| iptables | 中等 | 中等 | 较低 | 传统环境或需要与现有 iptables 规则集深度集成 |
| auditd | 低 | 高 | 较高 | 高安全要求、合规性审计、需要深度追踪进程和网络活动 |
选择哪种方法取决于你的具体需求和系统环境，对于大多数现代 CentOS 服务器，使用 firewalld 的富规则是记录端口访问最直接、最高效的方式，如果你需要进行更深入的安全审计和合规性检查，auditd 提供了无与伦比的细节和控制能力，而 iptables 则作为经典工具，在特定场景下依然发挥着重要作用，合理配置日志记录，并定期审查日志,是确保服务器安全稳定运行的关键环节。
相关问答 (FAQs)
日志文件增长过快，占用了大量磁盘空间怎么办？
解答： 这是一个常见问题,可以通过两种主要方式解决：
- 规则层面限速： 在
firewalld或iptables的日志规则中使用limit模块（如示例中的limit value="5/m"），限制单位时间内的日志条目数量,有效防止日志洪水。 - 系统层面轮转： 使用
logrotate工具自动管理日志文件，CentOS 默认已配置logrotate，你可以编辑/etc/logrotate.conf或在/etc/logrotate.d/目录下为特定服务（如auditd）创建自定义配置，实现日志文件的压缩、轮转和自动删除,确保磁盘空间得到有效控制。
如何记录所有端口的访问，而不仅仅是某一个特定端口？
解答： 可以通过创建一个更宽泛的规则来实现，但请务必谨慎操作,因为这可能产生海量日志并影响系统性能。
- 使用 firewalld：
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" log prefix="ALL_CONN: " level="notice" limit value="10/m"' - 使用 iptables：
sudo iptables -I INPUT -j LOG --log-prefix "ALL_PACKETS: " --log-level 4
重要提示： 在生产环境中记录所有端口访问通常不推荐，除非你有非常明确的短期诊断需求（如排查网络故障），完成诊断后，应立即删除该宽泛规则，对于长期监控，建议只记录关键服务（如 SSH, HTTP, 数据库端口）或使用网络入侵检测系统（如 Snort/Suricata）等专业工具。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复