Quand le firewall reçoit une connexion entrante ou sortante, il trace dans le log des éléments protocolaires (au niveau TCP (ou UDP), et IP) inhérents à cette connexion.
Il faut que tu prennes la 1ère ligne du log, et que tu la compare avec les évènements:
Tu peux passer le fichier texte dans excel en prenant l'"espace" comme séparateur...
date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path
2011-09-17 23:10:39 DROP UDP 192.168.1.8 192.168.1.3 6002 6003 60 - - - - - - - RECEIVE
Date et time: horodatage
action déclanchèe par le firewall: Drop (destruction) ou Allow (autorisation)
protocol: protocole conçerné par l'action (TCP, UDP, ICMP,...)
puis, adresse IP source, adresse IP destination, port source, port destination
size= taille du segment en octets (TCP ou UDP)
tcpflags, tcpsyn, tcpack, tcpwin sont des éléments propres à l'établissement d'une connexion TCP (en trois phases: syn, syn ack, ack) tcpwin sert au contrôle de flux TCP.
icmp code spécifie le type de message icmp (par exemple, un ping, c'est de l'icmp, mais icmp sert aussi par ex à retourner des codes erreurs...)
info: chais pas, path non plus...
sens : send ou receive.
Pour en revenir à l'évènement:
Le firewall a reçu un premier segment UDP de la machine 192.168.1.8 (port source 6002) vers la machine 192.168.1.3 (port destination de l'appli visée:6003)
Il n'y a pas de règle qui autorise cette connexion dans le firewall, ce segment est détruit et ne parviendra donc pas a la machine 192.168.1.3
Si on veut que cette comm UDP passe dans le firewall, il faut donc créer une règle qui la laisse passer.
