Firewalld 日志配置 3 步实战：从默认关闭到独立日志文件（附 rsyslog 规则）-育师

Firewalld 日志配置 3 步实战：从默认关闭到独立日志文件（附 rsyslog 规则）

在 Linux 服务器运维中，防火墙日志是排查网络问题、分析安全事件的重要依据。然而 Firewalld 默认关闭日志记录功能，且日志混杂在系统消息文件中，给日常运维带来诸多不便。本文将手把手带你完成 Firewalld 日志从零配置的全流程，重点解决三个核心问题：如何启用日志记录？如何分离日志到独立文件？如何验证配置生效？

1. 理解 Firewalld 日志机制

Firewalld 作为 RHEL/CentOS 等主流 Linux 发行版的默认防火墙解决方案，其日志系统设计有以下几个特点：

默认关闭策略：出于性能考虑，新安装的系统不会记录被拒绝的连接请求
四级粒度控制：支持按单播(unicast)、广播(broadcast)、组播(multicast)或全部(all)类型记录
内核级日志：通过内核的 netfilter 框架生成日志，原始日志默认写入/var/log/messages
动态生效：多数配置变更无需重启服务，通过--reload即可应用

实际生产环境中，我们通常需要记录所有被拒绝的访问(all)，同时将日志分离到独立文件。这既便于日志分析，也能避免系统日志文件过快膨胀。

2. 配置日志记录功能

2.1 检查当前日志状态

在开始配置前，先确认系统的当前日志设置：

# 查看当前日志记录级别 firewall-cmd --get-log-denied # 检查配置文件默认值 grep LogDenied /etc/firewalld/firewalld.conf

若输出为off或配置文件中显示LogDenied=off，则表示日志功能未启用。

2.2 设置日志记录级别

Firewalld 提供四种日志记录粒度：

参数值	记录内容	适用场景
all	所有被拒绝的连接	安全审计等需要完整记录的场景
unicast	仅记录单播包（常见于常规网络通信）	默认推荐配置
broadcast	仅记录广播包	特殊网络环境调试
multicast	仅记录组播包	组播应用调试

设置方法（以 all 为例）：

# 临时生效（重启后失效） firewall-cmd --set-log-denied=all # 永久生效 firewall-cmd --set-log-denied=all --permanent firewall-cmd --reload

提示：生产环境中如果性能敏感，建议先用unicast级别测试，再根据实际情况调整。

2.3 验证配置

执行以下命令确认配置已生效：

# 检查运行时状态 firewall-cmd --get-log-denied # 查看内核日志（新开终端） tail -f /var/log/messages | grep -i reject

此时如果从外部访问被拒绝的端口，应该能在日志中看到类似记录：

IN=eth0 OUT= MAC=... SRC=192.168.1.100 DST=192.168.1.1 LEN=60 ... PROTO=TCP SPT=54321 DPT=22

3. 分离日志到独立文件

默认日志混杂在系统消息中，长期运行会导致文件过大。下面通过 rsyslog 实现日志分离。

3.1 创建 rsyslog 配置

新建/etc/rsyslog.d/firewalld.conf文件，内容如下：

# 捕获 DROP 和 REJECT 动作的日志 :msg, contains, "_DROP" /var/log/firewalld.log & stop :msg, contains, "_REJECT" /var/log/firewalld.log & stop

关键配置说明：

contains匹配内核日志中的特定字符串
& stop表示匹配后停止后续处理
文件路径可根据需要修改，确保目录存在且有写入权限

3.2 设置日志轮转

创建/etc/logrotate.d/firewalld配置文件：

/var/log/firewalld.log { daily missingok rotate 7 compress delaycompress notifempty create 0600 root root }

3.3 应用配置

# 重启 rsyslog 服务 systemctl restart rsyslog # 测试配置（在新终端执行） logger -t kernel "TEST _REJECT message" # 验证日志文件 tail -f /var/log/firewalld.log

4. 高级应用与排错

4.1 日志分析技巧

获取被拒绝最多的 IP 地址：

grep 'FINAL_REJECT' /var/log/firewalld.log | awk '{print $10}' | sort | uniq -c | sort -nr | head -10

实时监控关键端口访问：

tail -f /var/log/firewalld.log | grep -E 'DPT=(80|443|22)'

4.2 常见问题解决

问题1：日志文件未创建

检查 rsyslog 服务状态：systemctl status rsyslog
验证配置语法：rsyslogd -N1
检查目录权限：ls -ld /var/log/

问题2：日志记录不全

确认 firewalld 日志级别：firewall-cmd --get-log-denied
检查内核日志缓冲：dmesg | grep -i reject
临时提高日志级别：echo "module nf_log_ipv4 +p" > /sys/kernel/debug/dynamic_debug/control

问题3：性能影响显著

调整日志级别为 unicast
限制日志速率：firewall-cmd --set-log-denied-rate=5/60s
使用专门的日志服务器集中处理

5. 安全加固建议

完成基础配置后，建议进一步优化：

日志文件权限：

chmod 600 /var/log/firewalld.log chown root:root /var/log/firewalld.log

日志归档策略：
- 重要环境建议日志保留至少 90 天
- 使用 ELK 或 Graylog 等工具集中管理

自动化响应：

# 示例：自动封禁频繁尝试的 IP grep 'FINAL_REJECT' /var/log/firewalld.log | awk '{print $10}' | sort | uniq -c | awk '$1 > 10 {print $2}' | xargs -I {} firewall-cmd --add-rich-rule='rule family="ipv4" source address="{}" reject'