检查点FW1测井

Question

当我查看为检查点fw1创建的日志时，它是在接收syn时记录连接，还是等待三种方式握手完成？如果它在syn之后登录，那么是否可以告诉您三次握手还没有完成呢？

Answer 1

初始日志在SYN_RECV上排队/最初定义为标准的流量日志，而不需要计算。

在启用会计功能后，会计日志计数器将被保留并转发到日志模块以完成日志记录。完整的会计日志记录将包括初始访问日志+记录会话或虚拟会话的一些会计细节。

Answer 2

我猜当它接收到SYN时，您可以很容易地通过发送一个带有像安平这样的工具的syn来验证这一点。

如果你想看我推荐使用fw monitor的三种握手方式，检查点网站上有关于它的好pdf。

快速的步骤是运行类似于fw monitor -e 'accept src=1.2.3.4 or dst= 1.2.3.4;'的程序

编辑:当然，这是在现场做的，所以它不如日志.