Q&A
ログを記録したいから "--set-log-denied=all" なのでは？
FINAL_REJECT は記録せず、STATE_INVALID_DROP のみ記録させたいということでしょうか？
前提・実現したいこと
環境
VMWare上
OS
CentOS Linux release 7.7.1908 (Core)
カーネル
3.10.0-1062.18.1.el7.x86_64
「firewall-cmd --set-log-denied=all」を設定し、journalctlで出力されるログの内
添付にあるような、カーネル出力の「FINAL_REJECT」をjournalctlに記録させないようにしたい。
「https://teratail.com/questions/182878」
上記に書いてある内容を試したのですが、自環境ではログが記録され続けてしまいます。
発生している問題・エラーメッセージ
4月 12 14:19:50 xxx kernel: FINAL_REJECT: IN=yyy OUT= MAC=zzz SRC=192.168.10.1 DST=192.168.10.255...
試したこと
テスト1
「vi /etc/sysctl.conf」
kernel.printk = 3 4 1 7
「sysctl -p」
テスト2
「sysctl -w kernel.printk="3 4 1 7"」
テスト3
「systemctl restart systemd-journald」
テスト4
「shutdown -r now」//上記テスト実行後
テスト5
「sysctl -w kernel.printk="1 1 1 1"」
テスト6
「semodule -B」
テスト7
「dmesg --console-level 3」
テスト8
「vi /etc/sysctl.conf」
kernel.printk = 1 1 1 1
「shutdown -h now」
テスト9
起動時のカーネルパラメータを修正
quietを削除
修正前（一部抜粋）
rhgb quiet LANG=ja_JP.UTF-8
修正後（一部抜粋）
rhgb LANG=ja_JP.UTF-8
どのような事でも結構ですので、ご回答いただければと思います。
よろしくお願いします。
ご回答ありがとうございます。
おっしゃるように「STATE_INVALID_DROP」のみ記録させたい、というのが希望する動作なのですが
可能なのでしょうか。
「iptables -nvL」で出力される下記リストの内
※「firewall-cmd --set-log-denied」の「all」と「off」の違いの部分のみ抜粋
1「ctstate INVALID LOG flags 0 level 4 prefix "STATE_INVALID_DROP: "」
2「LOG flags 0 level 4 prefix "FINAL_REJECT: "」
1番目のログは記録させて、2番目のログは記録させない、というものでした。
添付したURLの質問の時の質問者さんが「止めることができた」と書いてあったのが
「そのような動作を実現できた」と解釈していたのですが、本件とは違うものなのでしょうか。
182878 はコンソールへのログ出力を止めたい、というものだったと思います。
回答1件
0
ベストアンサー
"--direct" ルールだと、INPUT_ZONES_SOURCE, INPUT_ZONES の前に設定されてしまうのでダメですね。
INPUT_ZONES_SOURCE, INPUT_ZONES の後ろ、DROP の直前に、iptables で直接設定するしかなさそうです。
投稿2020/04/13 02:47
総合スコア12146
あなたの回答
tips
プレビュー
