目录
当你在云服务器或防火墙后台查看安全日志时，可能会看到一些让人不太理解的日志记录，比如：
[UFW BLOCK] IN=eth0 OUT= MAC=... SRC=203.0.113.10 DST=192.168.1.10 PROTO=TCP SPT=445 DPT=22
或
Dropped packet: IP=8.8.8.8 PORT=443 PROTOCOL=UDP REASON=Port not allowed
这些日志信息到底是什么意思？哪些代表正常拦截，哪些提示可能有安全风险？下面带你快速理解防火墙系统中常见日志内容及关键词含义。
✅ 一、防火墙日志是做什么的？
服务器防火墙日志记录了系统对网络访问行为的处理结果，例如哪些连接被允许、哪些被拒绝、被拦截的原因是什么。
用途包括：
- 审计网络访问行为
- 发现潜在攻击（如端口扫描、爆破）
- 排查访问异常问题
🛠️ 二、常见防火墙日志信息及说明
| 日志示例 | 含义 | 中文解释 |
|---|---|---|
ACCEPT / ALLOW |
允许连接 | 防火墙规则允许这条流量通过 |
DROP / DENY / REJECT |
拒绝访问 | 防火墙拒绝了该连接请求 |
BLOCKED / UFW BLOCK |
被阻断 | Linux 的 UFW 拦截了不符合规则的流量 |
SRC= / DST= |
来源 / 目的 IP | 分别表示流量来源和目标的 IP 地址 |
SPT= / DPT= |
来源 / 目的端口 | SPT: Source Port，DPT: Destination Port |
PROTO= |
协议类型 | TCP、UDP、ICMP 等 |
REASON= |
拦截原因 | 通常是“端口未开放”“协议不符”等说明 |
Invalid Packet |
无效数据包 | 可能是攻击流量、协议构造错误或伪造数据包 |
🧪 三、典型日志示例解析
1. 被阻断的访问（DROP）
Jun 10 15:12:01 firewall: IN=eth0 OUT= MAC=... SRC=203.0.113.1 DST=10.0.0.5 PROTO=TCP SPT=34567 DPT=22 ACTION=DROP
含义：来自公网 IP 203.0.113.1 想访问你内网服务器的 22 端口（SSH），但被防火墙阻断。
🔒 常见于：爆破 SSH 密码、扫描端口、非法连接尝试。
2. 被允许的访问（ACCEPT）
Jul 01 08:35:44 iptables: ACCEPT IN=eth0 OUT= MAC=... SRC=10.0.0.100 DST=10.0.0.5 PROTO=TCP SPT=443 DPT=8080
含义：内网某服务访问你服务器的 8080 端口，防火墙规则允许此连接。
3. 被拒绝的端口访问
Firewall: Dropped UDP packet from 8.8.8.8 to port 12345 - Port not open
含义：Google DNS 8.8.8.8 试图访问你的 UDP 端口 12345，但这个端口没开放。
🔍 常见于：UDP 扫描、DDOS 探测。
4. 可疑端口扫描行为
Jun 5 12:11:10 firewall: Detected TCP Port Scan from 198.51.100.12
含义：攻击者尝试快速连接多个端口，防火墙识别为端口扫描行为。
🛡️ 建议：添加 IP 黑名单或配合 IDS 联动拦截。
📋 四、防火墙日志中高频关键词对照表
| 英文关键字 | 中文含义 | 备注说明 |
|---|---|---|
DROP |
丢弃 | 没有回应 |
REJECT |
拒绝 | 返回“连接被拒” |
ACCEPT |
允许 | 放行连接 |
SPT/DPT |
源/目的端口 | 常见端口如 22, 80, 443 |
SRC/DST |
源/目的IP | 来源和目标主机 |
PROTO |
协议类型 | TCP, UDP, ICMP |
INVALID |
无效连接 | 多数为异常或攻击流量 |
SCAN |
扫描行为 | 通常表示可疑行为 |
LOG |
记录 | 表示该条信息被记录在案 |
LIMIT |
限速 | 防止过多访问造成攻击 |
NEW |
新连接 | 表示发起的新 TCP 连接 |
🧠 五、如何处理防火墙日志中的告警？
频繁的 DROP 日志
- ✅ 正常：说明防火墙工作正常
- ⚠️ 异常：如同一 IP 高频访问，应封禁或调查来源
频繁连接敏感端口（如 22、3389）
- 考虑修改默认端口或添加访问控制规则
大量不同端口的连接尝试
- 可能是扫描行为，可加入 WAF/IDS 联动防护
✅ 总结一句话：
防火墙日志是你了解服务器是否“被盯上”的第一信号，通过观察日志中 DROP、SCAN、INVALID 等信息，你可以及时发现攻击苗头并加强防护。