Como registrar os endereços IP tentando se conectar a uma porta?

10

É possível registrar todos os endereços IP que tentam conectar ou conectar à porta "5901" no Linux Debian?

Como eu posso fazer isso?

linux debian iptables firewall Gihan Lasita
fonte
1
por que votar assim que a pergunta foi postada?
Gihan Lasita 12/12/12
1
Não diminuí o voto, mas uma das razões para um voto negativo no SF é que a pergunta "não mostra nenhum esforço de pesquisa" e lamento, mas a sua não.
MadHatter

Respostas:

19

Você poderia fazer isso usando o iptables 

iptables -I INPUT -p tcp -m tcp --dport 5901 -m state --state NEW  -j LOG --log-level 1 --log-prefix "New Connection "

Isso registrará novas conexões TCP na porta 5901 /var/log/sysloge /var/log/kernel.logassim

12 de dezembro 07:52:48 u-10-04 do kernel: [591690.935432] Nova conexão IN = eth0 OUT = MAC = 00: 0c: 29: 2e: 78: f1: 00: 0c: 29: eb: 43: 22: 08:00 SRC = 192.168.254.181 DST = 192.168.254.196 LEN = 60 TOS = 0x10 PREC = 0x00 TTL = 64 ID = 40815 DF PROTO = TCP SPT = 36972 DPT = 5901 WINDOW = 14600 RES = 0x00 SYN URGP = 0

user9517
fonte
12

se for de curto prazo - isso deve fazer:

tcpdump -n -i eth0 -w file.cap "port 5901"

Como alternativa, você pode usar o destino do log do iptables:

iptables -A INPUT -p tcp --dport 5901 -j LOG --log-prefix '** guests **'--log-level 4

isso pode inundar seus logs

pQd
fonte
-2

você pode usar netstatcom as opções -v, -n, -t, -a

por exemplo, netstat -anp | :8080 | grep ESTABLISHED | wc -l OU

root@user:/home# netstat -vatn

Active Internet connections (servers and established)

Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 192.168.1.174:8080      192.168.1.126:53021     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.126:32950     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.126:39634     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.126:59300     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.188:49551     ESTABLISHED
tcp        0      0 192.168.1.174:9090      192.168.1.126:37865     ESTABLISHED
tcp        0      0 192.168.1.174:9090      192.168.1.188:51411     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.126:50824     ESTABLISHED
Amol
fonte
Como esse comando não está produzindo um log de todos os endereços IP, não é uma resposta para a pergunta.
kasperd
Além disso, "ESTABELECIDO" só aconteceu quando eles se conectaram com êxito, portanto, isso não mostra quem está tentando se conectar (por exemplo, se a porta não estiver aberta, todos eles falharão).
Tripleee