Logging:

Nicht unwichtig ist natürlich auch das loggen, vor allem der
gedroppten Pakete (know your enemy).
Dies funktioniert via dem syslog Dämon (Infos gibt es zum Beispiel hier ).
Man kann nun einen --log-prefix und einen --log-level angeben. Der --log-prefix gibt einfach eine Meldung vor der eigentlichen log-Nachricht aus, Man könnte zum Beispiel böses tcp-Päckchen : nehmen (darf  höchstens 26 Zeichen lang sein), oder wie man immer auch will.
Der --log-level bestimmt den Wichtigkeitsgrad der Nachricht (siehe auch man syslog.conf). Es gibt debug, info, notice,warning, err, crit, alert und emerg.

Beispiele :

iptables -A INPUT -i eth0 -p udp -j LOG --log-level info --log-prefix "böses udp-päckchen : "

klar, alle eingehenden udp-päckchen auf eth0 werden geloggt. In diesem Fall macht es natürlich nur Sinn, wenn es auch eine entsprechende DROP - Regel gibt.

Anm. : Normalerweise wird die chain nach einem Treffer verlassen und arbeitet somit nachfolgende matches nicht mehr ab. Dies gilt nicht für das Logging, d. h. man kann bestimmte Pakete verbieten und nachher trotzdem noch loggen.

be continued