iptablesを介して削除されたトラフィックの指標をどのように取得できますか？

Question

iptablesの各ルールには、オプションで表示できるカウンタがあります-v。-xカウンタが非常に大きい場合（例：1104K）、カウンタが短縮されるのを防ぐために追加されました。例えば、

$ sudo iptables -L -n -v -x
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target prot opt in out source    destination 
   39 22221 ACCEPT udp  --  *  *   0.0.0.0/0  0.0.0.0/0 udp spts:67:68 dpts:67:68
 ...
  182 43862 LOG    all  --  *  *   0.0.0.0/0  0.0.0.0/0 LOG flags 0 level 4 prefix "input_drop: "
  182 43862 REJECT all  --  *  *   0.0.0.0/0  0.0.0.0/0 reject-with icmp-host-prohibited

私のローカルネットワークには破棄されたパケットは表示されませんが、リストされているようなログメッセージとともにicmpによって182が拒否されます。 DROPポリシーを含む構成の最後の2つの規則は次のとおりです。

  -A INPUT -j LOG --log-prefix "input_drop: "
  -A INPUT -j REJECT --reject-with icmp-host-prohibited

すべてのチェーンのカウンタをゼロにリセットするために使用できますiptables -Z。

この数は、iptables自体によってドロップされたパケットに適用されます。ただし、輻輳などによってパケットを破棄する他のフィルタリングソフトウェアがあります。彼らが提供する統計を理解するには、それぞれを見てください。（古い）netstatプログラムは、iptablesに渡される前に輻輳のためにイーサネットインターフェイスからドロップされたパケットの数を簡単に表示できます。

$ netstat -i 
Iface      MTU    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR 
enp5s0    1500  1097107      0     38 0       2049166      0      0      0

さまざまな理由で、カーネルが他の場所で破棄したパケットに関するいくつかの統計を取得することもできます。

$ netstat -s | grep -i drop
27 outgoing packets dropped
16 dropped because of missing route
2 ICMP packets dropped because socket was locked

Answer 1