uos-iptables-exporter与Grafana集成如何创建炫酷的防火墙流量监控仪表板【免费下载链接】uos-iptables-exporterA Prometheus exporter for iptables.项目地址: https://gitcode.com/openeuler/uos-iptables-exporter前往项目官网免费下载https://ar.openeuler.org/ar/在当今复杂的网络环境中防火墙流量的可视化监控变得至关重要。uos-iptables-exporter作为一款强大的Prometheus Exporter能够将Linux iptables防火墙的流量统计信息转化为Prometheus指标再结合Grafana的强大可视化能力您可以创建出炫酷的防火墙流量监控仪表板uos-iptables-exporter是一个专门为Linux iptables设计的Prometheus Exporter它通过调用iptables-save -c命令解析防火墙规则中的包和字节统计信息并以标准的Prometheus指标格式暴露出来。这使得您可以轻松地将防火墙监控集成到现有的Prometheus/Grafana监控体系中。 快速安装uos-iptables-exporter从源码编译安装首先克隆项目仓库git clone https://gitcode.com/openeuler/uos-iptables-exporter cd uos-iptables-exporter确保您已安装Go 1.22或更高版本然后执行编译make build编译完成后二进制文件将生成在build/bin/iptables-exporter目录中。系统服务安装推荐使用Makefile提供的安装目标可以一键安装到系统make install这个命令会安装二进制文件到/usr/local/bin/iptables-exporter安装默认配置文件到/etc/uos-exporter/iptables-exporter.yaml安装systemd服务文件到/usr/lib/systemd/system/uos-iptables-exporter.service安装完成后启用并启动服务sudo systemctl enable --now uos-iptables-exporter.service⚙️ 配置uos-iptables-exporter默认配置文件位于/etc/uos-exporter/iptables-exporter.yaml一个基本的配置示例如下address: 0.0.0.0 port: 9077 metricsPath: /metrics log: level: info scrapeTimeoutSeconds: 20 minScrapeIntervalSeconds: 10配置参数说明address: 监听地址设置为0.0.0.0允许所有网络接口访问port: 监听端口默认为9077metricsPath: Prometheus指标路径默认为/metricslog.level: 日志级别支持debug、info、warn等scrapeTimeoutSeconds: iptables抓取超时时间minScrapeIntervalSeconds: 最小抓取间隔避免频繁调用iptables命令启动服务后您可以通过以下URL验证指标端点http://服务器IP:9077/metrics健康检查http://服务器IP:9077/healthz 配置Prometheus抓取在Prometheus的prometheus.yml配置文件中添加新的抓取任务scrape_configs: - job_name: iptables-exporter static_configs: - targets: [localhost:9077] scrape_interval: 30s scrape_timeout: 25s如果您在多台服务器上部署了uos-iptables-exporter可以使用类似配置scrape_configs: - job_name: iptables-exporter static_configs: - targets: - server1:9077 - server2:9077 - server3:9077 relabel_configs: - source_labels: [__address__] target_label: instance regex: ([^:]):.* replacement: $1重新加载Prometheus配置后您可以在Prometheus的表达式浏览器中查询iptables相关指标。 理解导出的指标uos-iptables-exporter提供了丰富的iptables监控指标主要分为以下几类1. Exporter运行状态指标iptables_exporter_scrape_duration_seconds- 抓取耗时iptables_exporter_scrape_success- 抓取是否成功iptables_exporter_last_scrape_success- 最后一次抓取状态2. 表级和链级指标iptables_table_chains_total{tablefilter}- 每个表的链数量iptables_chain_rules_total{tablefilter,chainINPUT}- 每个链的规则数量iptables_chain_empty{tablefilter,chainINPUT}- 链是否为空3. 流量统计指标核心指标iptables_default_packets_total{tablefilter,chainINPUT,policyACCEPT}- 默认策略匹配的数据包数iptables_default_bytes_total{tablefilter,chainINPUT,policyACCEPT}- 默认策略匹配的字节数iptables_rule_packets_total{tablefilter,chainINPUT,...}- 每条规则匹配的数据包数iptables_rule_bytes_total{tablefilter,chainINPUT,...}- 每条规则匹配的字节数规则级别的指标包含丰富的标签table: iptables表名filter、nat、mangle、raw、securitychain: 链名INPUT、OUTPUT、FORWARD等in_iface: 输入接口out_iface: 输出接口source: 源地址destination: 目标地址target: 目标动作ACCEPT、DROP、REJECT等protocol: 协议类型 创建Grafana防火墙监控仪表板步骤1添加Prometheus数据源在Grafana中进入Configuration → Data Sources → Add data source选择Prometheus填写Prometheus服务器的URL。步骤2创建新的仪表板点击Create → Dashboard → Add visualization开始创建监控面板。面板1防火墙整体流量概览查询表达式sum(rate(iptables_rule_bytes_total[5m])) by (table)面板配置可视化类型Stat标题各表流量速率单位bytes/sec显示当前值、最大值、最小值面板2INPUT链流量分析查询表达式sum(rate(iptables_rule_bytes_total{tablefilter,chainINPUT}[5m])) by (target)面板配置可视化类型Pie chart标题INPUT链流量分布按动作显示百分比和实际值面板3TOP 10流量规则查询表达式topk(10, sum by (source, destination, protocol) (rate(iptables_rule_bytes_total[5m])))面板配置可视化类型Table标题TOP 10流量规则列源地址、目标地址、协议、流量速率排序降序排列面板4DROP规则监控告警查询表达式sum(rate(iptables_rule_packets_total{targetDROP}[5m]))面板配置可视化类型Graph标题DROP规则数据包速率添加告警当速率超过阈值时触发告警面板5链规则数量监控查询表达式iptables_chain_rules_total面板配置可视化类型Bar gauge标题各链规则数量分组按table和chain分组显示面板6Exporter健康状态查询表达式iptables_exporter_scrape_success面板配置可视化类型Stat标题Exporter健康状态阈值0.5低于0.5显示为红色 配置告警规则在Grafana中配置告警及时发现防火墙异常告警1Exporter抓取失败条件iptables_exporter_scrape_success 0持续时间2分钟通知渠道邮件、Slack、钉钉等告警2DROP规则流量突增条件sum(rate(iptables_rule_packets_total{targetDROP}[5m])) 1000持续时间5分钟说明可能存在攻击或误配置告警3链规则数量异常条件abs(delta(iptables_chain_rules_total[1h])) 10持续时间10分钟说明防火墙规则发生较大变化 高级配置与优化技巧1. 性能优化配置在config/iptables-exporter.yaml中调整抓取间隔minScrapeIntervalSeconds: 30 # 增加间隔减少系统负载 scrapeTimeoutSeconds: 30 # 适当增加超时时间2. 多实例监控配置对于大规模部署可以使用服务发现机制# Prometheus配置示例 scrape_configs: - job_name: iptables-exporter consul_sd_configs: - server: consul:8500 services: [iptables-exporter] relabel_configs: - source_labels: [__meta_consul_service_address] target_label: __address__ regex: (.) replacement: ${1}:90773. 标签重写优化在Prometheus配置中使用relabeling优化标签relabel_configs: - source_labels: [__address__] target_label: instance regex: ([^:]):.* replacement: ${1} - source_labels: [__meta_consul_tags] regex: .*,env([^,]),.* target_label: environment replacement: ${1} 常见问题与故障排除问题1无法访问/metrics端点检查步骤确认服务正在运行systemctl status uos-iptables-exporter检查端口监听netstat -tlnp | grep 9077查看日志journalctl -u uos-iptables-exporter -f问题2指标数据为空可能原因iptables没有启用计数功能权限不足无法执行iptables-save -c配置中的抓取间隔太短解决方案# 检查iptables-save命令是否可用 sudo iptables-save -c # 检查exporter用户权限 sudo -u prometheus iptables-save -c问题3Prometheus无法抓取指标检查步骤确认网络连通性检查Prometheus配置中的target地址查看exporter日志中的错误信息 最佳实践建议1. 监控策略设计关键链监控重点关注INPUT、OUTPUT、FORWARD链异常检测监控DROP/REJECT规则的突增容量规划监控链规则数量的增长趋势2. 仪表板布局优化概览区放置整体流量和健康状态分析区按表、链、动作分类展示详情区显示TOP N流量规则和趋势图表3. 告警策略配置分级告警根据严重程度设置不同通知渠道静默时间避免在维护时段产生告警噪音告警聚合相似告警进行聚合处理4. 性能考虑根据服务器负载调整抓取间隔使用Prometheus的recording rules预计算复杂查询定期清理旧数据控制存储增长 实际应用场景场景1DDoS攻击检测通过监控DROP规则的流量突增结合源地址分布分析可以快速识别DDoS攻击模式。场景2防火墙规则优化分析各规则的匹配频率识别低效或冗余规则优化防火墙性能。场景3合规性审计监控防火墙规则变更确保符合安全策略要求。场景4容量规划跟踪链规则数量增长趋势预测防火墙性能需求。 未来扩展方向uos-iptables-exporter项目还在持续发展中未来可能支持nftables支持扩展支持新一代Linux防火墙更细粒度指标支持连接状态、连接数等高级指标动态配置支持运行时配置热更新集群模式支持多节点聚合监控 相关资源项目源码查看完整的代码实现和文档配置文件示例config/iptables-exporter.yaml核心指标定义internal/metrics/iptables.go服务器实现internal/server/server.go通过uos-iptables-exporter与Grafana的集成您可以将原本难以监控的iptables防火墙流量转化为直观的可视化图表和智能告警。这不仅提升了运维效率还为网络安全分析提供了强大的数据支持。现在就开始构建您的防火墙监控体系吧✨记住好的监控不是终点而是持续优化和改进的起点。定期review监控指标和告警策略让您的防火墙监控体系越来越完善【免费下载链接】uos-iptables-exporterA Prometheus exporter for iptables.项目地址: https://gitcode.com/openeuler/uos-iptables-exporter创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考