連線記錄回答的是「誰連進來、本機連出去哪裡、又轉送到哪個後端」。它由防火牆（nftables）的日誌規則產生：系統在防火牆層把符合條件的連線寫進核心日誌，再分流到這一頁的紀錄檔。因此它不只是「看紀錄」，這一頁的設定同時就是在決定防火牆要記錄什麼。
當您要追查「有沒有奇怪的外部 IP 在連我的郵件服務」、或要確認閘道與後端伺服器之間的連線是否正常時，這一頁是最完整的連線視角。
什麼時候會用到這一頁：
- 要確認某個外部 IP 是否曾連到本機的郵件服務
- 懷疑有人在掃描或嘗試連線
- 要確認本機是否有非預期的對外連線
- 要檢查閘道到後端伺服器的連線是否正常
- 需要保留「連線進出」的紀錄以符合稽核要求
頁面組成
頁面分成三個頁籤：
- 記錄：選紀錄檔 → 瀏覽內容
- 設定：連線記錄設定（記錄什麼、如何記錄）＋ 輪替設定，共用一顆儲存按鈕
- 空間使用：紀錄檔（含輪替檔與壓縮檔）的空間占用
⚠️ 這一頁與其他日誌頁最大的不同：「設定」頁籤會實際改變系統行為（重建防火牆規則），其他日誌頁的設定只影響日誌輪替。
記錄頁籤：查詢與閱讀
- 搜尋框：搜尋來源／目的 IP、埠、協定…
- 搜尋語法：
字A,字B＝任一命中（OR）；字A+字B＝兩個都要命中（AND）；其他寫法當成單一字串。+與,混用不會被拆解 - 比對不分大小寫；
.gz輪替檔會自動解壓後搜尋 - 欄位：只有「紀錄內容」一欄，可點標題切換排序方向
- 預設排序：內容由大到小（最新在上面）；每頁 50 筆
- 沒有資料時顯示「目前沒有連線紀錄（可能未啟用連線記錄，或尚無符合條件的連線）」
這行訊息的意思是：連線紀錄由核心產生，每行會帶固定的前綴字樣（Connect- 開頭）以便分流到這個檔案。內容包含來源與目的位址、埠號、協定與方向的線索。
排查時的實用關鍵字：某個 IP、某個埠（例如 25、143、993）、DPT=（目的埠）、SPT=（來源埠）、SRC=、DST=、TCP／UDP。
設定頁籤①：連線記錄設定
這一區決定「防火牆要記錄哪些連線」。每個欄位都會轉成 nftables 的日誌規則，儲存後立即重建並套用。
- 啟用連線記錄（開關，出廠開啟）：關閉後不再產生任何日誌規則，紀錄檔停止成長
- 記錄方向（下拉，出廠進＋出）：
- 進＋出（連進來與本機連出去）＝預設，最完整
- 只記連入（外部連到本機）
- 只記連出（本機主動連外）＝用來抓「本機有沒有異常對外連線」
- 不記錄
- 記錄協定（下拉，出廠 TCP）：
TCP、UDP、TCP + UDP。畫面說明提醒：UDP 大多是 DNS 查詢；量大時建議只記 TCP - 排除範圍（下拉，出廠虛擬IP網路）：
- 虛擬IP網路（192.168.* 與 10.*）＝只記與外界真的有往來的連線（內網互連不記）
- 不排除（含內網互連，量大）
- 判定方式：連入比來源、連出比目的——也就是「被排除的那一方」不記錄
- 每秒上限（下拉，出廠 100）：可選不限、10、50、100、500、1000、5000。超過上限的連線不記錄，避免瞬間爆量打爆紀錄檔
- 瞬時容許量（下拉，出廠 200）：可選 50、100、200、500、1000、2000、5000、10000。突發流量可多接受的筆數（封包數），通常設為每秒上限的 1～2 倍
已套用的規則：設定區下方會列出目前實際套用在防火牆上的規則。這是驗證「設定有沒有真的生效」最直接的地方——若您改了設定卻沒看到規則變動，代表套用失敗（請看下面的訊息說明）。
儲存與生效
- 按「儲存設定」，成功顯示「連線記錄設定已儲存」，失敗顯示「連線記錄設定儲存失敗」
- ⚠️ 這一顆按鈕同時儲存「連線記錄設定」與「輪替設定」（兩區共用一顆）。只改其中一區也可以，另一區會維持原值一併送出
- 儲存後立即重建防火牆規則，不必重開機，也不是「下次輪替才生效」
設定頁籤②：輪替設定
- 記錄週期：每週（預設）或每天
- 保留天數／保留週數：可填 1–400，出廠預設保留 4 週（這一頁的預設比其他日誌頁短，因為連線紀錄量大）
- 單檔大小上限：可填 1–200 MB，出廠預設 20 MB（也較其他頁小，同樣是因為量大）
- 壓縮 rotate 檔：預設開啟
按同一顆「儲存設定」寫入，成功顯示「logrotate 設定已儲存」。
容量規劃提醒：連線紀錄是所有日誌中生長最快的一支（每一條連線都可能留下一行）。若您把「記錄方向」設為「進＋出」且「排除範圍」設為「不排除」，紀錄量會明顯放大。建議先用出廠值觀察一天，再到「空間使用」頁籤看實際成長，據此調整方向、排除範圍與保留份數。
匯出與刪除
- 匯出：下載該檔完整內容（不受畫面搜尋與分頁影響），檔名自動加時間戳；系統以 root 讀取，核心層的日誌檔也讀得到
- 刪除：活檔（
connect.log）→ 只清空內容、保留檔案，確認視窗顯示「此為目前正在寫入的日誌，刪除將僅清空其內容（檔案保留）。確定要清空「connect.log」嗎？」；輪替檔 → 真正刪除，確認視窗顯示「確定要刪除日誌檔案「:file」嗎？」 - 成功訊息為「日誌檔案「:file」內容已清空」或「日誌檔案「:file」已刪除」
- 失敗訊息為「刪除日誌檔案失敗」、「刪除日誌檔案失敗：檔案無法刪除（權限或檔案屬性限制）」、「清空日誌檔案失敗：檔案無法寫入（權限或檔案屬性限制）」
⚠️ 刪除紀錄檔不會改變防火牆規則：規則還在，紀錄會繼續產生。要停止記錄請到「設定」頁籤關閉「啟用連線記錄」。
空間使用頁籤
列出 connect.log 及其輪替檔與壓縮檔的「檔案名稱／最後修改／空間占用」，最後顯示「總計（N 個檔案）」，依時間新到舊。沒有檔案顯示「目前沒有日誌檔。」；讀取失敗顯示「讀取失敗」。
常見情境與判讀
- 「有沒有人在掃我的郵件埠？」：以埠號搜尋（
25、143、993），觀察來源 IP 的分布。同一 IP 對多個埠連續嘗試＝掃描行為，建議搭配（防火牆設定 / 自動防禦設定）與（防火牆設定 / 手動防禦設定）處理 - 「閘道到後端的連線正常嗎？」：用後端伺服器 IP 搜尋，看是否有持續的連線紀錄；完全沒有紀錄可能是後端位址設定有誤（（郵件閘道 / 郵件代理設定））
- 「紀錄檔長得太快」：先看是哪一類連線最多（用來源 IP 或埠號搜尋統計）→ 到「設定」把「記錄方向」改成只記連入、或確認「排除範圍」已設為排除虛擬 IP 網路 → 必要時調降「每秒上限」
- 「改了設定但紀錄沒變」：回「設定」頁籤看「已套用的規則」是否已更新；沒更新代表套用失敗，請看儲存時顯示的訊息
- 「完全沒有紀錄」：確認「啟用連線記錄」是否被關閉；其次確認「記錄方向」是否被設為「不記錄」
- 「想抓異常對外連線」：把方向改成「只記連出」，觀察本機主動連外的目的位址
注意事項
- ⚠️ 這是唯一會改變防火牆行為的日誌頁。關閉「啟用連線記錄」不會影響郵件收發（只是不記錄），但設定錯誤的協定或方向會讓您看不到想看的紀錄，排查前請先確認設定
- 記錄會增加系統負擔：每一條符合條件的連線都要寫入核心日誌，量大時會佔用 CPU 與磁碟。出廠的「每秒上限 100」與「排除虛擬 IP」就是為了控制這個成本
- 「不排除」內網互連會產生極大量紀錄，只在短期排查時使用，用完請改回
- 這一頁記錄的是**連線層（第 3／4 層）**的資訊，不含郵件內容；要看郵件本身請到（系統日誌 / SMTP日誌）
- 封鎖與記錄是兩件不同的事：這一頁只「記錄」，實際「阻擋」在（防火牆設定 / 自動防禦設定）與（防火牆設定 / 手動防禦設定）
- 相關頁面：（防火牆設定 / 基礎設定）看防火牆整體狀態、（系統日誌 / 阻斷記錄）看被自動封鎖的來源