Log iptables

если от каждого пакета получать сточку в логе -- не хватит места в /var
проще и спокойнее смотреть только те, которые дропаются.

перед каждым правилом DROP ставишь аналогичное, но с LOG
например, так:

iptables -t filter -A INPUT -i ppp0 -m state --state INVALID,NEW -j LOG
iptables -t filter -A INPUT -i ppp0 -m state --state INVALID,NEW -j DROP

Так мне же на время отладки фаервола ! А другого способа кроме лога в каждом правиле нет ? Мне на какое-то время нужно просмотреть ВСЕ пакеты, проходящие через машину. Потом, конечно же, лишние логи будут отключены.

ну тогда сюда:
http://people.unix-fu.org/andreasson/iptables-tutorial/iptables-tutorial.html...

суть та же, но более правильно

P.S. самый надежный способ протестировать файрвол - просканить себя
снаружи, или попросить кого-то это сделать

Может тогда tcpdump?

Во первых можно просто первой строкой поставить iptables -A INPUT -j LOG - ВСЕ пакеты будут логгится. Но кто из них прошел, а кто помер - ты не узнаешь. tcpdump тебе даст обратную картину - ты увидишь что прошло, но не увидишь что было изначально.