https://xinux.net/index.php?action=history&feed=atom&title=Nft_monitor_traceNft monitor trace - Versionsgeschichte2026-08-24T01:57:16ZVersionsgeschichte dieser Seite in Xinux WikiMediaWiki 1.35.1https://xinux.net/index.php?title=Nft_monitor_trace&diff=72725&oldid=prevThomas.will: Die Seite wurde neu angelegt: „= nft monitor trace = Mit <code>nft monitor trace</code> lässt sich der Weg eines Pakets durch das nftables-Regelwerk verfolgen. Für jede durchlaufene Regel…“2026-08-16T19:34:01Z<p>Die Seite wurde neu angelegt: „= nft monitor trace = Mit <code>nft monitor trace</code> lässt sich der Weg eines Pakets durch das nftables-Regelwerk verfolgen. Für jede durchlaufene Regel…“</p>
<p><b>Neue Seite</b></p><div>= nft monitor trace =<br />
<br />
Mit <code>nft monitor trace</code> lässt sich der Weg eines Pakets durch das<br />
nftables-Regelwerk verfolgen. Für jede durchlaufene Regel wird ein Ereignis<br />
ausgegeben. Damit lässt sich feststellen, an welcher Stelle ein Paket verworfen<br />
wird oder warum eine erwartete Regel nicht greift.<br />
<br />
Die Ausgabe entsteht nicht automatisch. Ein Paket wird nur dann verfolgt, wenn<br />
es zuvor durch eine Regel markiert wurde.<br />
<br />
== Voraussetzungen ==<br />
<br />
;Kernel-Modul für Trace-Ereignisse laden<br />
*<syntaxhighlight lang="bash" inline>modprobe nfnetlink_log</syntaxhighlight><br />
<br />
;Version prüfen (Trace-Unterstützung ab nftables 0.9)<br />
*<syntaxhighlight lang="bash" inline>nft --version</syntaxhighlight><br />
<br />
== Prinzip ==<br />
<br />
Das Verfolgen von Paketen erfolgt in zwei Schritten:<br />
<br />
# Eine Regel setzt für die gewünschten Pakete das Trace-Flag.<br />
# <code>nft monitor trace</code> gibt die dabei entstehenden Ereignisse aus.<br />
<br />
Das Flag wird mit <syntaxhighlight lang="bash" inline>meta nftrace set 1</syntaxhighlight> gesetzt.<br />
<br />
== Trace-Tabelle anlegen ==<br />
<br />
Die Trace-Regeln werden in einer eigenen Tabelle abgelegt. So bleibt das<br />
produktive Regelwerk unverändert und die Trace-Tabelle kann anschliessend<br />
vollständig entfernt werden.<br />
<br />
;Tabelle anlegen<br />
*<syntaxhighlight lang="bash" inline>nft add table inet trace</syntaxhighlight><br />
<br />
;Chain mit hoher Priorität anlegen (läuft vor dem eigentlichen Regelwerk)<br />
*<syntaxhighlight lang="bash" inline>nft add chain inet trace prerouting '{ type filter hook prerouting priority -300; }'</syntaxhighlight><br />
<br />
Die Priorität <code>-300</code> sorgt dafür, dass das Flag gesetzt wird, bevor<br />
das Paket die Filter-Chains erreicht. Andernfalls werden die vorher<br />
durchlaufenen Regeln nicht angezeigt.<br />
<br />
== Trace aktivieren ==<br />
<br />
Das Trace-Flag sollte immer möglichst eng eingegrenzt werden. Ein Trace ohne<br />
Filter erzeugt auf einem produktiven System sofort unbrauchbare Datenmengen.<br />
<br />
;Einzelnen Host verfolgen<br />
*<syntaxhighlight lang="bash" inline>nft add rule inet trace prerouting ip saddr 192.168.2XX.10 meta nftrace set 1</syntaxhighlight><br />
<br />
;Einzelnen Dienst verfolgen<br />
*<syntaxhighlight lang="bash" inline>nft add rule inet trace prerouting tcp dport 443 meta nftrace set 1</syntaxhighlight><br />
<br />
;Kombination aus Quelle und Ziel<br />
*<syntaxhighlight lang="bash" inline>nft add rule inet trace prerouting ip saddr 192.168.2XX.10 ip daddr 192.168.2XX.20 meta nftrace set 1</syntaxhighlight><br />
<br />
;ICMP verfolgen (für Tests mit ping)<br />
*<syntaxhighlight lang="bash" inline>nft add rule inet trace prerouting ip protocol icmp meta nftrace set 1</syntaxhighlight><br />
<br />
== Ausgabe anzeigen ==<br />
<br />
;Trace-Ereignisse anzeigen<br />
*<syntaxhighlight lang="bash" inline>nft monitor trace</syntaxhighlight><br />
<br />
;Ausgabe im JSON-Format<br />
*<syntaxhighlight lang="bash" inline>nft -j monitor trace</syntaxhighlight><br />
<br />
Das Kommando läuft im Vordergrund und wird mit <code>Strg+C</code> beendet.<br />
<br />
== Ausgabe lesen ==<br />
<br />
Eine typische Zeile sieht so aus:<br />
<br />
<pre><br />
trace id 3f2a1b8c inet filter input packet: iif "ens18" ether saddr 52:54:00:1a:2b:3c ip saddr 192.168.2XX.10 ip daddr 192.168.2XX.20 ip protocol tcp tcp dport 22<br />
trace id 3f2a1b8c inet filter input rule ct state established,related accept (verdict accept)<br />
</pre><br />
<br />
;trace id<br />
*Eindeutige Kennung eines Pakets. Alle Zeilen mit derselben ID gehören zum selben Paket.<br />
<br />
;inet filter input<br />
*Family, Tabelle und Chain, in der das Ereignis auftritt.<br />
<br />
;packet:<br />
*Die Kopfdaten des Pakets. Diese Zeile erscheint einmal pro Chain.<br />
<br />
;rule ...<br />
*Die Regel, auf die das Paket zutrifft, gefolgt vom Verdict.<br />
<br />
;verdict<br />
*Das Ergebnis: <code>accept</code>, <code>drop</code>, <code>continue</code> oder ein Sprung in eine andere Chain.<br />
<br />
Wird ein Paket verworfen, endet die Kette der Ereignisse mit<br />
<code>(verdict drop)</code>. Fehlt die erwartete Regel in der Ausgabe<br />
vollständig, wurde das Paket vorher bereits von einer anderen Regel behandelt.<br />
<br />
== Trace beenden ==<br />
<br />
Die Trace-Tabelle wird vollständig entfernt. Das produktive Regelwerk bleibt<br />
dabei unberührt.<br />
<br />
;Trace-Tabelle löschen<br />
*<syntaxhighlight lang="bash" inline>nft delete table inet trace</syntaxhighlight><br />
<br />
;Prüfen, ob keine Trace-Regeln mehr aktiv sind<br />
*<syntaxhighlight lang="bash" inline>nft list ruleset | grep nftrace</syntaxhighlight><br />
<br />
== Übung ==<br />
<br />
# Auf it2XX eine Trace-Tabelle nach obigem Muster anlegen.<br />
# Das Trace-Flag für ICMP von der Adresse eines Nachbarsystems setzen.<br />
# <code>nft monitor trace</code> starten und vom Nachbarsystem aus einen Ping absetzen.<br />
# Die durchlaufenen Chains und das Verdict notieren.<br />
# Eine Drop-Regel für ICMP in die Filter-Chain einfügen und den Ping wiederholen.<br />
# Die Ausgabe mit dem vorherigen Durchlauf vergleichen.<br />
# Die Trace-Tabelle entfernen.<br />
<br />
== Hinweise ==<br />
<br />
* Trace-Ereignisse werden über nfnetlink an den Userspace gesendet. Bei hohem Paketaufkommen können Ereignisse verloren gehen.<br />
* Auf produktiven Systemen ist das Trace-Flag immer auf eine einzelne Adresse oder einen einzelnen Port einzugrenzen.<br />
* Die Trace-Tabelle nach der Fehlersuche entfernen. Ein vergessenes Trace-Flag erzeugt dauerhaft Last.<br />
* Für dauerhafte Protokollierung ist <code>log</code> in der jeweiligen Regel geeigneter als ein Trace.</div>Thomas.will