CHECK POINT
Fw monitor
Este es EL comando de Check Point: fw monitor.
Captura paquetes viendo las cuatro etapas del kernel, y eso es lo que lo hace mágico. La i minúscula es el paquete entrando antes del firewall.
La I mayúscula, después. La o minúscula, saliendo antes.
La O mayúscula, después. Si ves la i pero nunca la I, el firewall lo descartó al entrar.
Si ves la O, ya salió. Con eso ubicas el problema en segundos.
# los comandos
[Expert@gw:0]# fw monitor -e 'accept host(10.0.0.5);' -o /var/log/cap.pcapcopiarmonitor: getting filter (from command line)
monitor: compiling
Compiled OK.
monitor: monitoring (control-C to stop)
[vs_0][fw_0] eth1:i[52]: 10.0.0.5 -> 8.8.8.8 (TCP) len=52
[vs_0][fw_0] eth1:I[52]: 10.0.0.5 -> 8.8.8.8 (TCP) len=52
[vs_0][fw_0] eth0:o[52]: 10.0.0.5 -> 8.8.8.8 (TCP) len=52
[vs_0][fw_0] eth0:O[52]: 203.0.113.10 -> 8.8.8.8 (TCP) len=52
^C