本文主要是介绍CentOS通过raw表实现iptables日志输出和调试，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！
背景
当系统上iptables规则过多时，如果有出现丢包或者网络不通需要查看原因时，调试iptables规则就成了一个绕不过的问题。
关于raw表
下面我们分别在CentOS 6和CentOS 7系列上配置iptables的调试日志，这主要都是通过raw表实现的。因为raw表在所有iptables规则中优先级是最高的，raw表有两条链，prerouting和output，分别作为输入和输出的第一必经点，因此作为调试是最合适不过。
环境准备
我们以调试ipv4 的ICMP报文为例，进行日志的采集。因此在机器上添加一下规则，
iptables -t raw -A PREROUTING -p icmp -j TRACE
iptables -t raw -A OUTPUT -p icmp -j TRACE
1. CentOS 6系列
由于iptables的调试日志输出依赖于内核模块，这些内核模块并不是开机就加载的，因此我们需要手动加载，在CentOS 6系列上iptables日志输出依赖于ipt_LOG(LOG是大写的)模块，所以手动加载该模块，
modprobe ipt_LOG
加载完后，我们可以通过以下命令确认下是否成功，
[root@CentOS-6-5 localhost]# sysctl net.netfilter.nf_log.2
net.netfilter.nf_log.2 = ipt_LOG
如果为NULL，那么就失败了。
2. CentOS 7系列
对于CentOS 7系列，和6系列不同，依赖的iptables日志模块不再是ipt_LOG，而是nf_log_ipv4，因此需要手动加载该模块，
[root@CentOS-7-3 localhost]# modprobe nf_log_ipv4
[root@CentOS-7-3 localhost]# sysctl net.netfilter.nf_log.2
net.netfilter.nf_log.2 = nf_log_ipv4
实际操作
我们在系统上ping其他机器的ip，
ping -c 1 192.168.0.100
为了方便观察，我们只ping一个报文。然后查看系统/var/log/messages日志，就会发现有调试日志输出，
May 19 05:08:35 CentOS-6-5 kernel: TRACE: raw:OUTPUT:policy:2 IN= OUT=eth0 SRC=192.168.0.120 DST=192.168.0.100 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=25571 SEQ=1 UID=0 GID=0
May 19 05:08:35 CentOS-6-5 kernel: TRACE: nat:OUTPUT:policy:1 IN= OUT=eth0 SRC=192.168.0.120 DST=192.168.0.100 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=25571 SEQ=1 UID=0 GID=0
May 19 05:08:35 CentOS-6-5 kernel: TRACE: filter:OUTPUT:policy:1 IN= OUT=eth0 SRC=192.168.0.120 DST=192.168.0.100 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=25571 SEQ=1 UID=0 GID=0
May 19 05:08:35 CentOS-6-5 kernel: TRACE: nat:POSTROUTING:policy:1 IN= OUT=eth0 SRC=192.168.0.120 DST=192.168.0.100 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=25571 SEQ=1 UID=0 GID=0 May 19 05:08:35 CentOS-6-5 kernel: TRACE: raw:PREROUTING:policy:2 IN=eth0 OUT= MAC=00:0c:29:91:3a:d6:00:0c:29:f6:b3:f3:08:00 SRC=192.168.0.100 DST=192.168.0.120 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=25248 PROTO=ICMP TYPE=0 CODE=0 ID=25571 SEQ=1
May 19 05:08:35 CentOS-6-5 kernel: TRACE: filter:INPUT:rule:1 IN=eth0 OUT= MAC=00:0c:29:91:3a:d6:00:0c:29:f6:b3:f3:08:00 SRC=192.168.0.100 DST=192.168.0.120 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=25248 PROTO=ICMP TYPE=0 CODE=0 ID=25571 SEQ=1
可见，前面三条日志是icmp request报文经由raw表OUTPUT链->nat表OUTPUT链->filter表OUTPUT链->nat表POSTROUTING链出去；后面两条是icmp reply报文经由raw表PREROUTING链->filter表INPUT链回来。
构造异常
我们构造一种异常，在机器上添加一条规则，在filter表的OUTPUT链上配置丢弃目标ip的icmp报文，
iptables -t filter -A OUTPUT -d 192.168.0.100 -j DROP
此时我们再ping一次目标机器，会发现/var/log/messages中的日志如下，
May 19 05:20:13 CentOS-6-5 kernel: TRACE: raw:OUTPUT:policy:2 IN= OUT=eth0 SRC=192.168.0.120 DST=192.168.0.100 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=9700 SEQ=1 UID=0 GID=0
May 19 05:20:13 CentOS-6-5 kernel: TRACE: nat:OUTPUT:policy:1 IN= OUT=eth0 SRC=192.168.0.120 DST=192.168.0.100 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=9700 SEQ=1 UID=0 GID=0
May 19 05:20:13 CentOS-6-5 kernel: TRACE: filter:OUTPUT:rule:1 IN= OUT=eth0 SRC=192.168.0.120 DST=192.168.0.100 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=9700 SEQ=1 UID=0 GID=0
可见，报文到了filter表的OUTPUT链的第一条规则(rule:1)后就被处理了，因此我们查看下iptables的filter规则，
[root@CentOS-6-5 /var/log]# iptables-save
......
*filter
......
-A OUTPUT -d 192.168.0.100/32 -j DROP
COMMIT
# Completed on Sun May 19 05:21:36 2019
确实有这条规则，因此删除该条规则，通行即可恢复正常。
iptables -t filter -D OUTPUT 1
这篇关于CentOS通过raw表实现iptables日志输出和调试的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！
