如何在Notepad++中使用正则表达式查询pfirewall.log文件中被封禁IP的连接记录？
美国、香港服务器
如何在Notepad++中使用正则表达式查询pfirewall.log文件中被封禁IP的连接记录？
11-22 来源:
在 Notepad++ 中使用正则表达式查询 pfirewall.log 被封禁 IP 记录，核心是「打开日志→配置正则→精准筛选」，步骤简洁且可直接复用正则，适合手动定位、高亮标记封禁记录，具体操作如下：
一、前置准备
获取可编辑的日志文件：
默认日志路径：C:\Windows\System32\LogFiles\Firewall\pfirewall.log
直接打开可能因权限不足失败，建议：右键日志文件 → 复制 → 粘贴到桌面（绕过系统目录权限限制）。
用 Notepad++ 打开日志：双击桌面复制后的 pfirewall.log，或打开 Notepad++ → 「文件」→「打开」→ 选择该文件。
二、核心步骤：正则查询封禁记录
1. 打开查找窗口并切换正则模式
按快捷键 Ctrl+F（或「搜索」→「查找」），调出查找窗口；
切换到「查找」标签页（默认），勾选窗口底部的 「正则表达式」（必选），取消「匹配整词」「匹配大小写」（默认取消即可，若需精准匹配可勾选）。
2. 选择对应正则表达式（直接复制粘贴）
根据查询需求选择以下正则，粘贴到「查找内容」输入框：
查询需求 正则表达式 说明
所有被封禁（DROP）记录 ^\d{4}-\d{2}-\d{2}\s+\d{2}:\d{2}:\d{2}\s+DROP\s+[A-Z]+\s+(\d{1,3}\.){3}\d{1,3} 匹配完整日期、时间、DROP 动作、协议、IPv4 源 IP（排除表头 / 无效记录）
特定被封禁 IP（如 192.168.1.100） DROP\s+[A-Z]+\s+192\.168\.1\.100 精准匹配指定 IP 的封禁记录（IP 中的.需转义为\.）
某 IP 段的封禁记录（如 192.168.1.x） DROP\s+[A-Z]+\s+192\.168\.1\.\d{1,3} 匹配 192.168.1.0-255 网段的所有封禁记录
针对 3389 端口的封禁记录 DROP\s+TCP\s+(\d{1,3}\.){3}\d{1,3}\s+\d+\s+(\d{1,3}\.){3}\d{1,3}\s+3389 匹配攻击 3389（RDP）端口的封禁记录（可替换 3389 为 80/443 等其他端口）
排除本地 IP 的封禁记录 `DROP\s+[A-Z]+\s+(?!127.0.0.1 ::1)(\d{1,3}.){3}\d{1,3}` 匹配封禁记录，但排除 127.0.0.1/::1 本地 IP，避免干扰
3. 执行查询并查看结果
点击「查找下一个」：逐个定位匹配的封禁记录，Notepad++ 会自动跳转到对应行并高亮关键字；
点击「查找全部」：在窗口底部显示所有匹配结果（含行号、匹配内容），可双击任意结果直接跳转到该行；
若需标记所有封禁记录：切换到「标记」标签页，粘贴正则 → 勾选「正则表达式」和「仅标记行」→ 点击「标记全部」，所有封禁记录会被高亮显示（便于整体浏览）。
三、关键技巧与避坑
日志表头过滤：默认正则已通过 ^\d{4}-\d{2}-\d{2} 匹配日期开头，自动排除 #Version: 1.5 等表头记录，无需手动筛选；
IP 转义注意：正则中 IP 的.必须用 \. 转义（如 192\.168\.1\.100），否则 . 会匹配任意字符，导致误匹配（如 192.168.1100 被误判）；
批量复制匹配记录：
「查找全部」后，选中底部所有匹配结果 → 右键 →「复制」；
新建文本文件 → 粘贴，即可导出所有封禁记录（无需手动逐行复制）；
大小写敏感：日志中 DROP「TCP/UDP」均为大写，正则无需区分大小写（Notepad++ 默认不勾选「匹配大小写」），若误勾选会导致匹配失败；
大日志处理：若日志文件超过 100MB，建议先通过「编辑」→「行操作」→「删除空行」精简日志，再执行正则查询，提升速度。
四、示例：查找所有被封禁 IP 的记录
粘贴正则：^\d{4}-\d{2}-\d{2}\s+\d{2}:\d{2}:\d{2}\s+DROP\s+[A-Z]+\s+(\d{1,3}\.){3}\d{1,3}；
勾选「正则表达式」→ 点击「查找全部」；
底部结果栏显示所有封禁记录，例如：
plaintext
行 102: 2025-11-22 10:05:18 DROP TCP 192.168.1.100 56789 10.0.0.5 3389 6 0 408 0 RECEIVE
行 108: 2025-11-22 10:06:42 DROP UDP 192.168.1.101 43210 10.0.0.5 53 6 0 300 0 RECEIVE
双击任意行，直接跳转到日志对应位置，查看完整记录。
通过以上步骤，可快速定位 pfirewall.log 中所有被封禁 IP 的连接记录，正则表达式确保了筛选精准度，避免误匹配无效信息。若需查询特殊场景（如 IPv6、自定义端口范围），可调整正则表达式中的对应字段。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
