連線記錄

連線記錄會把「有哪些連線進出這台伺服器」寫成日誌：誰連進來、本機主動連出去，以及轉送到後端的連線。當您要確認某個外部 IP 是否曾與伺服器建立連線、某個服務是否有對外連線行為，或想釐清異常流量來自哪裡時，這一頁提供最底層的連線證據。

它的記錄是由防火牆（nftables）的日誌規則產生，因此可以在同一頁直接調整要記錄的方向、協定與流量上限——調完立即套用，不必另外到防火牆頁設定。

什麼時候會用到這一頁：

• 懷疑某台機器對外連線異常（例如被植入後門、對外大量連線）
• 想確認某個外部 IP 到底有沒有連進來過（對方聲稱「我連了」但服務沒有記錄）
• 排查某個服務「有沒有在對外連線」（例如授權註冊、病毒碼更新、備援同步）
• 要佐證「某段時間內沒有異常連線」以回應資安稽核
• 已經看過「阻斷記錄」確認不是被自動防禦擋掉，想再往下看更底層的連線事實

記錄的內容

這一頁讀取的是 /var/log/connect.log，內容為防火牆針對新連線產生的日誌（由核心日誌依特定標記分流而來），並依方向標示為連入與連出。

• 連入：外部主動連到本機的連線
• 連出：本機主動連到外部的連線
• 轉送：經過本機轉送到後端的連線

每一筆包含來源與目的位址、連接埠與協定，可用來追查特定服務或特定對象的連線行為。

沒有資料時，表格會顯示「目前沒有連線紀錄（可能未啟用連線記錄，或尚無符合條件的連線）」——這句話已經提示了兩種可能，請先確認下方「連線記錄設定」的啟用狀態。

列表與查詢

「記錄」分頁上方是「紀錄檔」，列出 connect.log 以及輪替後的舊檔（含 .gz 壓縮檔），切換時自動選取第一個檔案。

• 表格只有「紀錄內容」一欄，一列就是一行紀錄
• 預設順序：由新到舊，可切換排序方向
• 每頁筆數：預設 50 筆（與其他日誌頁相同）
• 搜尋：即時全文檢索，搜尋框提示為「搜尋來源／目的 IP、埠、協定…」，符合的關鍵字會反白
• 搜尋語法：關鍵字1,關鍵字2 為 OR（任一命中）、關鍵字1+關鍵字2 為 AND（兩者都命中）；逗號與加號不要混用，混用時整串會被當成一個關鍵字原樣比對

實際最好用的關鍵字：

組合範例：

• 看某 IP 對本機 25 埠的連線：203.0.113.8+25
• 同時看兩個埠：25,993

⚠️ 連線記錄的資料量遠大於其他日誌。同一個關鍵字在別的日誌可能只有幾十行，在這裡可能是幾萬行——請務必用組合關鍵字縮小範圍。

匯出與刪除

紀錄檔選擇器旁有兩個共用按鈕：

• 匯出：把目前選取的紀錄檔下載。純文字以純文字下載、.gz 維持壓縮格式；檔名會自動加上下載時間戳，不會覆蓋舊檔
• 刪除：輪替舊檔整檔刪除（確認視窗「確定要刪除日誌檔案「:file」嗎？」）；現役檔只清空內容、保留檔案（確認視窗「此為目前正在寫入的日誌，刪除將僅清空其內容（檔案保留）。確定要清空「:file」嗎？」）
• 成功顯示「日誌檔案「:file」內容已清空」或「日誌檔案「:file」已刪除」；失敗顯示「刪除日誌檔案失敗」
• 刪除日誌的動作本身也會寫入「操作日誌」

連線記錄設定

「設定」分頁的「連線記錄設定」會把條件轉成防火牆的日誌規則，儲存後立即套用。欄位如下：

• 啟用連線記錄（開關）：出廠為開啟。關閉後不產生任何日誌規則，紀錄檔停止成長（既有內容不會被清除）
• 記錄方向：出廠為「進＋出」。可選
  • 進＋出（連進來與本機連出去）— 預設，資訊最完整
  • 只記連出（本機主動連外）— 想追查「本機對外」行為時用，量最小
  • 只記連入（外部連到本機）— 想追查「誰連進來」時用
  • 不記錄 — 等效於停止記錄（但保留設定，方便日後切回）
• 記錄協定：出廠為「TCP」。可選 TCP、UDP、TCP + UDP
  • UDP 大多是 DNS 查詢，量大時建議只記 TCP
• 排除範圍：出廠為「虛擬IP網路（192.168.* 與 10.*）」，也就是只記錄與外界真的有往來的連線；改為「不排除」會把內網互連也記下來，量會大很多
  • 判定方式：被排除的一方不記錄——連入比對來源、連出比對目的
  • 舉例：內網 192.168.1.10 連到本機的 25 埠，因為來源在排除範圍內，所以不會被記錄；反之本機連到外部 198.51.100.25，因為目的不在排除範圍，會被記錄
• 每秒上限：出廠為 100。超過上限的連線不記錄，避免瞬間爆量把紀錄檔打爆；選「不限」則不節流
• 瞬時容許量：出廠為 200。突發流量可多接受的封包數，通常設為每秒上限的 1～2 倍

同一個分頁下方是輪替設定（記錄週期、保留天數或週數、單檔大小上限、是否壓縮），出廠為 20 MB × 4 週。整個分頁只有一顆「儲存設定」按鈕，會一次送出連線記錄設定與輪替設定；儲存成功顯示「連線記錄設定已儲存」，失敗顯示「連線記錄設定儲存失敗」。

建議的調整策略：先維持出廠值（TCP、進＋出、排除內網、每秒 100）觀察一天，看「空間使用」的成長量再決定要不要加大上限或改為只記連出。

空間使用

「空間使用」分頁會列出這支日誌相關檔案（含輪替檔與壓縮檔）的檔名、最後修改時間與空間占用，並顯示「總計（N 個檔案）」，清單依時間倒序。沒有檔案時顯示「目前沒有日誌檔。」；讀取失敗時顯示「讀取失敗」。

由於連線記錄量大，這個分頁是您最需要定期查看的地方。

常見情境與判讀

• 「對方說有連，我們卻沒有服務記錄」：用對方 IP 搜尋本頁。若有連線記錄但服務日誌沒有，代表連線到了防火牆但沒進到服務（可能被規則丟棄或轉送到別處）；若連線記錄也沒有，代表連線根本沒到本機
• 「懷疑主機對外有異常連線」：把「記錄方向」暫時改成「只記連出」，觀察一段時間，再用目的 IP 搜尋。發現不認識的目的地就要進一步追查
• 「量太大，查不動」：把「記錄方向」改為「只記連出」、協定只留 TCP、確認排除範圍維持內網，並把每秒上限調低；或縮短保留週數
• 「剛調完設定，資料卻沒變」：設定儲存後立即套用，但只影響之後的新連線，既有紀錄不會改變。請稍候再回「記錄」分頁看新資料
• 「我要證明某段時間沒有外部連線」：匯出對應期間的紀錄檔留存，必要時一併匯出「阻斷記錄」

注意事項

• 連線記錄的資料量遠大於其他日誌，啟用前請先確認磁碟空間足夠，並搭配輪替設定與保留份數控制用量（可參考系統設定 / 磁碟管理）
• 這一頁的設定會直接改寫防火牆規則並立即生效；調整方向或協定後，請回到「記錄」分頁確認紀錄是否符合預期
• 記錄方向選「不記錄」或關閉「啟用連線記錄」，都會讓紀錄檔停止成長（既有內容不會被清除）
• 本頁記錄的是「連線層」的事實（誰連誰、哪個埠），不含內容；要知道連線之後做了什麼，請搭配「系統日誌 / SMTP日誌」、「系統日誌 / IMAP日誌」或「系統日誌 / 主機日誌」
• 排除範圍是「不記錄」而非「不允許」——被排除的連線仍然正常通行，只是不寫入紀錄檔
• 若同一台機器同時有「阻斷記錄」，兩者的意義不同：「阻斷記錄」是被自動防禦擋下的事件，本頁是所有連線（含被允許的）的記錄