¿Cómo registrar las direcciones IP que intentan conectarse a un puerto?

10

¿Es posible registrar todas las direcciones IP que intentan conectarse o conectadas al puerto "5901" en Linux Debian?

¿Cómo puedo hacer eso?

linux debian iptables firewall Gihan Lasita
fuente
1
¿Por qué votar abajo tan pronto como se publique la pregunta?
Gihan Lasita
1
No lo rechacé, pero una de las razones de un voto negativo en SF es que la pregunta "no muestra ningún esfuerzo de investigación" y lo siento, pero la suya no.
MadHatter

Respuestas:

19

Podrías hacerlo usando iptables 

iptables -I INPUT -p tcp -m tcp --dport 5901 -m state --state NEW  -j LOG --log-level 1 --log-prefix "New Connection "

Esto registrará nuevas conexiones TCP en el puerto 5901 a /var/log/syslogy /var/log/kernel.logcomo este

12 de diciembre 07:52:48 kernel u-10-04: [591690.935432] Nueva conexión IN = eth0 OUT = MAC = 00: 0c: 29: 2e: 78: f1: 00: 0c: 29: eb: 43: 22: 08:00 SRC = 192.168.254.181 DST = 192.168.254.196 LEN = 60 TOS = 0x10 PREC = 0x00 TTL = 64 ID = 40815 DF PROTO = TCP SPT = 36972 DPT = 5901 WINDOW = 14600 RES = 0x00 SYN URGP = 0

usuario9517
fuente
12

si es a corto plazo, esto debería hacer:

tcpdump -n -i eth0 -w file.cap "port 5901"

Alternativamente, puede utilizar el objetivo de registro de iptables:

iptables -A INPUT -p tcp --dport 5901 -j LOG --log-prefix '** guests **'--log-level 4

esto podría inundar sus registros

pQd
fuente
-2

puede usar netstatcon las opciones -v, -n, -t, -a

por ejemplo, netstat -anp | :8080 | grep ESTABLISHED | wc -l OR

root@user:/home# netstat -vatn

Active Internet connections (servers and established)

Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 192.168.1.174:8080      192.168.1.126:53021     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.126:32950     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.126:39634     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.126:59300     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.188:49551     ESTABLISHED
tcp        0      0 192.168.1.174:9090      192.168.1.126:37865     ESTABLISHED
tcp        0      0 192.168.1.174:9090      192.168.1.188:51411     ESTABLISHED
tcp        0      0 192.168.1.174:8080      192.168.1.126:50824     ESTABLISHED
Amol
fuente
Dado que ese comando no produce un registro de todas las direcciones IP, no es una respuesta a la pregunta.
Kasperd
Además, "ESTABLECIDO" solo habrá sucedido cuando se hayan conectado correctamente, por lo que esto no muestra quién está intentando conectarse (por ejemplo, si el puerto no está abierto, todos fallarán).
tripleee