[решено] Регистрация сброшенных пакетов в iptables

Добрый день!

вопрос простой. Есть два хоста, которые гоняют между собой кучу информации по разным портам. Основное правило: запрещено всё, что не разрешено явно. То есть поставлен тотальный DROP.
Есть нужда настроить МЭ под новый сервис. Если вместо тотального дропа ставить тотальный accept, сервис работает. Если прописываю нужные порты в ассепте при тотальном дропе - не работает. Вывод - где-то есть опечатка, дропаем нужное. Надо найти что именно. Каким образом научить iptables записывать только сброшенные пакеты с нужного адреса и не фиксировать пропущенные. То есть нужно реализовать аудит отказов. А у меня получается - или полная регистрация с хоста, или ничего. Задача решаема? Или я многого хочу от iptables? Или тогда вопрос перефразируем, что именно надо грепать в /var/log/messages, чтобы выгрепать оттуда только сброшенные пакеты?

Перед правилом с тотальным DROP, можно поставить правило с тотальным LOG

nesk написал:

Перед правилом с тотальным DROP, можно поставить правило с тотальным LOG

Как?

У меня тотальный дроп определяется при инициализации цепочек:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

Ну а потом я уже нужные ACCEPT'ы явно вписываю как
iptables -A INPUT .... -j ACCEPT
Правильно ли я понимаю, что если я внесу запись

iptables -A INPUT     -s $SERVER -j LOG
iptables -A OUTPUT -d $SERVER -j LOG

самой последней в списке команд, то она отработает после всех явных accept'ов перед этим тотальным дропом?
И я получу нужный результат?

Cruiser78 написал:

text

iptables -A INPUT     -s $SERVER -j LOG
iptables -A OUTPUT -d $SERVER -j LOG

Лучше

iptables -A INPUT     -s $SERVER -j LOG --log-prefix "IPDROP: "
iptables -A OUTPUT -d $SERVER -j LOG --log-prefix "IPDROP: "

Что бы потом смотреть командой:

dmesg | grep IPDROP

voral написал:

Что бы потом смотреть командой:

text

dmesg | grep IPDROP

Внедрено. Спасибо.