[ РЕШЕНО]iptables

[kerogaz]

У меня есть такая строка в правилах

Код Выделить Развернуть

4    6107  357K ACCEPT     all  --  *      *       80.0.0.0/8           0.0.0.0/0
Как можно посмотреть какие конкретно ip проходят? Я в логах не нашел подобных сведений. Мне нужно открыть  только 2 ip но поскольку я не знаю их , то  приходится открывать весь сегмент. А это полохо, ботнеты пытаются активно   войти и забивают своими запросами ssh

[endru]

по логам входа ssh нельзя посмотреть?
/var/log/auth.log - там найти успешные логи и посмотреть с каких они адресов.
от ботов существует fail2ban.

[kerogaz]

Нет там. Потому что это мониторинг сервера со стороны другого сайта . Фактически нужные ip не входят в систему а только какие-то данные считывают.  Сайт мониторит с помощью ресурса ARC http://www.nordugrid.org/arc/arc6// Посмотрю в логах ARC. 

[endru]

Ждите экстрасенсов. Нет четкого вопроса!!! А тыкать пальцем, имея простой счетчик, занятие такое себе...

[kerogaz]

Вопрос четкий. iptables показывает что через цепочку   INPUT проходят пакетыjот какого-то ip из  сегмента 80.0.0.0/8. Как их вычислть. В логах нет ничего . Если например кто-то из ботнета или какой-то пользвательпытается войти  то сразу в логах  auth  появляются сообщения . А когда из мониторингового сайта то ничего нет. Я специально обнуляю чтобы проследить iptables --zero.  У меня политика iptables запретить всё разрешить некоторые .

А логах arc только
[2021-06-01 09:48:18] [InfosysHelper] [INFO] [8027] Notification received from A-REX's infoprovider
[2021-06-01 09:48:18] [InfosysHelper] [VERBOSE] [8027] Using ldif generator script: /var/run/arc/infosys/ldif-provider.sh
[2021-06-01 09:48:29] [InfosysHelper] [VERBOSE] [8238] New fifo created: /var/run/arc/infosys/ldif-provider.fifo
[2021-06-01 09:48:29] [InfosysHelper] [INFO] [8238] Start waiting for notification from A-REX's infoprovider

Вот думаю tcpdump запустить и посмотреть

[endru]

Жуть какая...
Из описанного

Код Выделить Развернуть

-j LOG --log-prefix "INPUT: "
Да именно так, ссылаясь:

Вопрос четкий.

Далее стреляем в ногу и смотрим на мегабайтные файлы трафика.

[kerogaz]

Я думаю попробовать tcpdump и там вычислить грепом по сегменту 80.0.0.0. Оказалось проще пареной репы а я репу чесал   Оказалось что из всей кучи нкжен лишь 1 ip