如何在pfirewall.log文件中查找被封禁IP的连接记录？
美国、香港服务器
如何在pfirewall.log文件中查找被封禁IP的连接记录？
11-22 来源:
在 pfirewall.log 中查找被封禁 IP 的连接记录，核心是筛选 DROP 关键字（防火墙阻断标识）+ 目标 IP，结合日志格式特征快速定位。以下是分步骤操作指南，包含手动筛选、工具筛选、PowerShell 批量查询，适合不同场景使用：
一、核心前提：确认日志已启用且包含目标 IP
先验证日志配置（避免日志为空）：
按 Win+R 输入 wf.msc → 右键 “高级安全 Windows 防火墙”→ 属性 → 确认 “记录丢弃的数据包” 已启用（对应日志会记录 DROP 条目）。
找到日志文件路径（默认路径）：
C:\Windows\System32\LogFiles\Firewall\pfirewall.log
若自定义过路径，可在上述属性页的 “日志记录→自定义” 中查看实际保存位置。
二、方法 1：记事本 / Notepad++ 手动筛选（适合少量查询）
步骤 1：打开日志文件
直接双击可能因权限不足无法打开，建议：
右键 pfirewall.log → 复制到桌面（绕过系统目录权限限制）。
用 Notepad++（推荐，支持关键词高亮和筛选）打开复制后的文件（记事本也可，但功能较弱）。
步骤 2：理解日志格式（快速识别关键字段）
pfirewall.log 每条记录的核心字段（按顺序）：
字段 示例值 说明
日期 2024-10-01 连接发生日期
时间 14:35:22 连接发生时间
动作 DROP/ALLOW DROP = 被封禁，ALLOW = 允许
协议 TCP/UDP/ICMP 连接使用的协议
源 IP（攻击 IP） 192.168.1.100 被封禁的 IP（关键字段）
源端口 54321 攻击 IP 的端口
目标 IP 10.0.0.5 服务器 IP
目标端口 3389 服务器被攻击的端口（如 RDP）
步骤 3：筛选被封禁 IP 的记录
打开日志后，按 Ctrl+F 调出搜索框。
优先筛选 DROP（所有被封禁的连接），点击 “查找全部”，即可列出所有被防火墙阻断的条目。
若已知具体被封禁 IP（如 192.168.1.100），直接搜索该 IP + DROP（精准定位），搜索关键词：DROP 192.168.1.100（中间空格分隔，避免误匹配）。
示例匹配结果（被封禁 IP 的记录）：
plaintext
2024-10-01 14:35:22 DROP TCP 192.168.1.100 54321 10.0.0.5 3389 6 0 408 0 RECEIVE
解读：2024-10-01 14:35，被封禁 IP 192.168.1.100 尝试通过 TCP 协议连接服务器 10.0.0.5 的 3389 端口，被防火墙阻断（DROP）。
三、方法 2：PowerShell 批量筛选（适合多 IP / 批量查询）
若需快速提取所有被封禁 IP 的记录，或导出为表格，用 PowerShell 命令效率更高（管理员身份运行）：
1. 基础查询：列出所有被封禁（DROP）的记录
powershell
# 读取日志，筛选含 DROP 的条目，显示关键字段（日期、时间、源IP、目标端口）
Get-Content "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" |
Select-String -Pattern "DROP" |
ForEach-Object {
$fields = $_.Line -split "\s+" # 按空格分割字段
[PSCustomObject]@{
日期 = $fields[0]
时间 = $fields[1]
动作 = $fields[2]
协议 = $fields[3]
被封禁IP = $fields[4]
目标端口 = $fields[7]
}
}
2. 精准查询：指定被封禁 IP（如 192.168.1.100）的记录
powershell
# 筛选特定IP的DROP记录，结果更精准
$targetIP = "192.168.1.100" # 替换为你的被封禁IP
Get-Content "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" |
Select-String -Pattern "DROP.*$targetIP" | # 匹配 DROP + 目标IP
Format-List # 分行显示完整记录，便于查看
3. 导出结果：将被封禁 IP 记录保存为 CSV（便于后续分析）
powershell
# 导出所有DROP记录到CSV文件（保存路径可自定义）
Get-Content "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" |
Select-String -Pattern "DROP" |
ForEach-Object {
$fields = $_.Line -split "\s+"
[PSCustomObject]@{
日期 = $fields[0]
时间 = $fields[1]
动作 = $fields[2]
协议 = $fields[3]
被封禁IP = $fields[4]
源端口 = $fields[5]
服务器IP = $fields[6]
目标端口 = $fields[7]
}
} |
Export-Csv -Path "C:\Temp\被封禁IP记录.csv" -NoTypeInformation
四、方法 3：按端口筛选（如查找封禁 IP 访问 3389/RDP 端口的记录）
若需定位被封禁 IP 针对特定端口的攻击（如 3389、80、443），可组合筛选 DROP + 目标端口：
powershell
# 查找被封禁IP访问3389端口的记录
$targetPort = "3389"
Get-Content "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" |
Select-String -Pattern "DROP.*$targetPort" |
ForEach-Object { $_.Line } # 直接显示完整记录
五、常见问题与排查
搜索不到结果？
确认日志已启用 “记录丢弃的数据包”，且测试过被封禁 IP 的连接（需有实际拦截行为才会生成记录）。
检查日志路径是否正确（自定义路径需手动替换命令中的路径）。
日志文件过大时，Notepad++ 搜索可能卡顿，优先用 PowerShell 命令筛选。
日志文件被占用无法复制？
按 Ctrl+Shift+Esc 打开任务管理器 → 结束 conhost.exe 或 services.exe 相关进程（谨慎操作，避免影响系统），或重启服务器后再复制。
字段分割异常？
若日志字段用制表符分隔（少见），将 PowerShell 命令中的 \s+ 改为 \t 即可。
总结
少量查询：用 Notepad++ 搜索 DROP+被封禁IP，快速定位。
批量 / 精准查询：用 PowerShell 命令筛选，支持导出 CSV。
核心关键词：DROP（被封禁标识）+ 被封禁 IP（如 192.168.1.100），两者组合可避免误查。
通过以上方法，可快速从 pfirewall.log 中提取被封禁 IP 的连接时间、协议、目标端口等关键信息，完成攻击溯源。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
