在主机分配有多个 IP 地址时不应用筛选

症状

我已将 audit.cfg 配置为使用主机名筛选分配有多个 IP 地址的主机上的 TCP 事件。应用筛选之后，我无法查看所有 IP 地址的 TCP 日志。

解决方案

在应用 audit.cfg 筛选后，审核系统会将主机名解析为主机 IP 地址，将主机 IP 地址解析为主机名。如果您为主机配置了多个 IP 地址，audit.cfg 只会筛选第一个 IP 地址。

要将 audit.cfg 筛选应用到所有 IP 地址，请仅在筛选中指定所有 IP 地址，而不指定主机名，例如：

TCP;*;192.168.30.138;*;R;P
TCP;*;192.168.30.139;*R;P