시스템 관리_15 "iptables 및 nftables 로깅을 활용한 리눅스 패킷 드롭(Dropped Packets) 디버깅 완벽 가이드"

# 1. iptables: 특정 포트(예: 8080) 또는 INPUT 체인 맨 끝 DROP 직전에 LOG 규칙 삽입
$ sudo iptables -I INPUT 1 -p tcp --dport 8080 -m limit --limit 5/min -j LOG --log-prefix "[IPTABLES-DROP-8080]: " --log-level 4

# 2. nftables: 기존 체인에 패킷 드롭 전 로깅 룰 추가
$ sudo nft add rule inet filter input tcp dport 8080 log prefix \"[NFTABLES-DROP-8080]: \" drop

# 3. 실시간 커널 로그 추적 (dmesg 또는 journalctl)
$ sudo dmesg -wT | grep -E 'IPTABLES|NFTABLES'
# 또는
$ sudo journalctl -kf | grep -E 'IPTABLES|NFTABLES'

# [출력 예시]
# [Sun Sep 28 15:30:12 2026] [IPTABLES-DROP-8080]: IN=eth0 OUT= MAC=52:54:00:12:34:56:52:54:00:ab:cd:ef:08:00 SRC=192.168.1.50 DST=192.168.1.100 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=41235 DF PROTO=TCP SPT=54210 DPT=8080 WINDOW=64240 RES=0x00 SYN URGP=0

# 4. conntrack에서 INVALID 상태로 드롭되는 패킷 추적
$ sudo conntrack -E -e DESTROY -p tcp

#!/bin/bash
# trace_packet_drops.sh - Inject temporary firewall logging and monitor packet drops

ACTION=${1:-"start"}
TARGET_PORT=${2:-"8080"}
LOG_PREFIX="[FW-DROP-DEBUG]: "

if [ "$EUID" -ne 0 ]; then
    echo "오류: 루트(root) 권한으로 실행해야 합니다."
    exit 1
fi

check_backend() {
    if nft list tables &>/dev/null && [ $(nft list tables | wc -l) -gt 0 ]; then
        echo "nftables"
    else
        echo "iptables"
    fi
}

BACKEND=$(check_backend)

case "$ACTION" in
    start)
        echo "=========================================="
        echo " [패킷 드롭 로깅 시작] Backend: ${BACKEND}, Port: ${TARGET_PORT}"
        echo "=========================================="

        if [ "$BACKEND" == "nftables" ]; then
            # nftables 디버그용 별도 체인 및 룰 추가
            nft add table inet debug_trace 2>/dev/null || true
            nft add chain inet debug_trace prerouting '{ type filter hook prerouting priority -150; }' 2>/dev/null || true
            nft flush chain inet debug_trace prerouting
            nft add rule inet debug_trace prerouting tcp dport "$TARGET_PORT" limit rate 10/minute log prefix "\"$LOG_PREFIX\""
            echo "  -> nftables inet debug_trace 테이블에 로깅 규칙이 주입되었습니다."
        else
            # iptables INPUT 최상단에 limit가 걸린 LOG 규칙 주입
            iptables -I INPUT 1 -p tcp --dport "$TARGET_PORT" -m limit --limit 10/min -j LOG --log-prefix "$LOG_PREFIX" --log-level 4
            echo "  -> iptables INPUT 체인 1번에 로깅 규칙이 주입되었습니다."
        fi

        echo -e "\n실시간 로그 모니터링을 시작합니다 (종료: Ctrl+C)..."
        echo "추적 중: dmesg | grep '$LOG_PREFIX'"
        dmesg -wT | grep --line-buffered "$LOG_PREFIX"
        ;;

    stop)
        echo "=========================================="
        echo " [패킷 드롭 로깅 해제] Backend: ${BACKEND}"
        echo "=========================================="

        if [ "$BACKEND" == "nftables" ]; then
            nft delete table inet debug_trace 2>/dev/null || true
            echo "  -> nftables inet debug_trace 테이블을 제거했습니다."
        else
            while iptables -D INPUT -p tcp --dport "$TARGET_PORT" -m limit --limit 10/min -j LOG --log-prefix "$LOG_PREFIX" --log-level 4 2>/dev/null; do
                :
            done
            echo "  -> iptables INPUT 체인의 디버그 LOG 규칙을 제거했습니다."
        fi
        ;;

    *)
        echo "사용법: sudo $0 {start|stop} [포트번호]"
        echo "예시  : sudo $0 start 8080"
        echo "        sudo $0 stop 8080"
        exit 1
        ;;
esac