pid kết nối nhật ký IPTables trên chuỗi OUTPUT

Tôi đang cố tìm pid của một ổ cắm bằng cách sử dụng nhật ký chuỗi OUTPUT của iptables hoặc thậm chí tốt hơn là thêm nó vào nhật ký.

Quy tắc iptable hiện tại của tôi:

sudo iptables -A OUTPUT -j LOG --log-prefix='[PID]' --log-level 7 --log-uid

Tôi hơi thất vọng vì tôi biết rằng iptables' chủ nhân mô-đun có thể lọc các mục theo pid (dùng -m chủ sở hữu --owner-pid cờ) có nghĩa là thông tin ở đó, nhưng tôi không thể đăng nhập.

Tôi biết rằng không thể thực hiện được với chuỗi INPUT vì iptables là một quy trình hạt nhân, nhưng đối với chuỗi OUTPUT thì có thể thực hiện được.

bất kỳ ý tưởng? hoặc thậm chí làm thế nào để vượt qua một số dữ liệu nhật ký để có được PID của các kết nối chuỗi OUTPUT?

Vì vậy, hiện tại không có cách nào để IPtables lọc các gói dựa trên PID. Nhưng bạn có thể làm điều đó dựa trên UID hoặc GID:

tùy chọn đối sánh chủ sở hữu:
[!] --uid-owner userid[-userid] So khớp UID cục bộ
[!] --gid-owner groupid[-groupid] So khớp GID cục bộ
[!] --socket-exists Khớp nếu ổ cắm tồn tại
    --suppl-groups Cũng phù hợp với các nhóm bổ sung được thiết lập với --gid-owner

Bạn có thể thêm người dùng mới và sau đó chạy ứng dụng với tư cách là người dùng mới được tạo:

ứng dụng người dùng sudo -u

Ví dụ: nếu bạn có người dùng hiện tại, hậu tố, đã có tài khoản người dùng, bạn có thể thực hiện việc này:

Đầu tiên, tìm UID của người dùng:

[root@mail ~]# mèo /etc/passwd | hậu tố grep
hậu tố:x:89:89::/var/spool/postfix:/sbin/nologin

Thứ hai, thêm quy tắc iptables này. Hãy chú ý đến nơi bạn muốn nó trong chuỗi OUTPUT của mình:

/usr/sbin/iptables -A OUTPUT -m chủ sở hữu --uid-chủ sở hữu 89 -j LOG --log-prefix "POSTFIX: "

Và sau đó tất cả các gói từ người dùng hậu tố sẽ được ghi lại.