Surveillez votre pare-feu Linux avec nftwatch

Tableaux Netfilter (nfttables) est le pare-feu par défaut fourni avec les distributions Linux modernes. Il est disponible sur Fedora et RHEL 8, la dernière Debian et bien d’autres. Il remplace les anciens iptables qui étaient fournis dans les versions de distribution précédentes. C’est un remplacement puissant et digne d’iptables, et en tant que personne qui l’utilise beaucoup, j’apprécie sa puissance et ses fonctionnalités.

L’une des fonctionnalités de nftables est la possibilité d’ajouter des compteurs à de nombreux éléments, tels que des règles. Ceux-ci sont activés à la demande. Vous devez le demander explicitement ligne par ligne en utilisant l’argument “counter”. Je les ai activés pour des règles spécifiques dans mon pare-feu, ce qui me donne une visibilité sur ces règles.

Cela m’a fait réfléchir. Comment consulter ces compteurs en temps réel ? Au début, j’ai essayé “regarder” qui permet des choses comme le taux de rafraîchissement, mais je n’aimais pas le format par défaut et il n’était pas défilable. j’ai trouvé en utilisant head et tail et awk moins qu’idéal. Une solution conviviale n’existait pas. J’ai donc écrit le mien, que j’aimerais partager avec la communauté open source.

Présentation de nftwatch sous Linux

Ma solution, que j’appelle nftwatch, fait plusieurs choses :

• Il réorganise et reformate la sortie nftables pour la rendre plus lisible.
• Il permet de faire défiler la sortie vers le haut ou vers le bas.
• Son taux de rafraîchissement défini par l’utilisateur (peut être modifié en temps réel).
• Il peut mettre l’affichage en pause.

Au lieu d’un vidage d’une table, vous obtenez une sortie qui montre l’activité pour chaque règle :

Vous pouvez le télécharger ici à partir de son Référentiel Git.

C’est 100% python, 100% open source et 100% gratuit. Il coche toutes les cases pour des programmes gratuits et de qualité.

Installer nftwatch sous Linux

Voici les instructions d’installation manuelle :

1. Clonez ou téléchargez le projet depuis le dépôt git.
2. Copie nftwatch.yml à /etc/nftwatch.yml.
3. Copie nftwatch à /usr/local/bin/nftwatch et accordez-lui des autorisations exécutables en utilisant chmod a+x.
4. Utilisation nftwatch sans arguments pour l’exécuter.
5. Voir nftwatch -m pour la page de manuel.

Vous pouvez également exécuter nftwatch sans le fichier de configuration YAML, auquel cas il utilise les valeurs par défaut intégrées.

Usage

La commande nftwatch affiche les règles nftables. La plupart des commandes sont conçues à cet effet.

Les touches fléchées et les touches Vim équivalentes contrôlent le défilement. Utilisez le F ou S touche pour modifier la vitesse de rafraîchissement. Utilisez le P touche pour mettre l’affichage en pause.

Courir nftwatch -m pour obtenir des instructions complètes et une liste de commandes clés interactives.

Une nouvelle vue de votre pare-feu

Les pare-feu peuvent sembler obtus et vagues même si vous passez du temps à les configurer. Mis à part l’extrapolation des indicateurs à partir des entrées de journal, il est difficile de dire quel type d’activité votre pare-feu voit réellement. Avec nftwatch, vous pouvez voir votre pare-feu au travail et, idéalement, mieux comprendre le type de trafic auquel votre réseau doit faire face quotidiennement.