出口防火墙后端WAF怎么查看外网攻击真实IP

出口防火墙配置了NAT，部署在内网的WAF（web应用防火墙）位于NAT设备之后，因为NAT已经转换了源地址，无法直接看到外网攻击者的真实IP。如今想要实现内网的WAF设备不通过出口防火墙的镜像流量，而是采用下述方式，能不能实现。

NAT设备会维护动态转换表（NAPT表），记录内网IP与公网IP+端口的映射关系‌。WAF需与NAT设备联动，通过查询该表将捕获的公网IP反向映射为原始攻击IP。例如，当外网IP x.x.x.x对应内网IP 192.168.1.10时，WAF需通过NAT日志或API接口获取这一映射关系‌。若NAT设备支持实时同步会话表（如通过Syslog或NetFlow协议），WAF可通过解析会话数据关联内外网IP，无需镜像流量‌。