• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 全部
  • 全部
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
高级搜索

从协议说起(3)——Userlog

2020-10-15 发表
  • 0关注
  • 3收藏,70浏览
胡伟 七段
粉丝:5人 关注:2人

组网及说明

1.1 Flow日志简介



配置步骤

Flow日志用来记录NAT会话信息,主要包括用户访问网络的流的5元组信息(源IP地址、目的IP地址、源端口、目的端口、协议号),以及发送和接收的报文统计信息。配置步骤如下:

1.11 Flow日志典型配置举例

# 开启NAT日志功能。

system-view

[Device] nat log enable

# 开启NAT新建、删除会话和活跃流的日志功能。

[Device] nat log flow-begin

[Device] nat log flow-end

[Device] nat log flow-active 10

# Flow日志报文版本号设为3.0

[Device] userlog flow export version 3

# Flow日志信息发送给Flow日志主机(地址为1.2.3.6:2000)。

[Device] userlog flow export host 1.2.3.6 port 2000

# 2.2.2.2配置为承载Flow日志的UDP报文的源IP地址。

[Device] userlog flow export source-ip 2.2.2.2

Flow日志有两种输出方式:

·            Flow日志封装成UDP报文直接发送给网络中的日志主机。日志主机可以对Flow日志进行解析和分类显示,以达到远程监控的目的。

·            Flow日志输出到本设备的信息中心模块(userlog flow syslog),再通过设置信息中心的输出参数,最终决定Flow日志的输出方向。

通常情况下,用户访问网络会在短时间内产生大量NAT会话日志。系统日志传输格式为ASCII码,相比Flow日志的二进制格式传输效率低。所以,建议在日志量较小的情况下,使用输出到信息中心的方式。

  • 二进制格式的Flow日志Wireshark直接打开会显示乱码。


  • 需要手工解码为Userlog格式才能正常显示,如下:点击日志报文,右键"decode as...",下拉框中选择“userlog"并点击OK,便可正常显示。


1.1 Flow日志简介

Flow日志根据日志信息所包含字段多少分为Flow1.0Flow3.0Flow5.0三个版本。三种Flow日志的内容稍有不同,具体差别请参见1-11-21-3

下表中介绍的字段是设备向日志主机方向发送的原始信息所包含的字段,可能与用户最终看到的信息格式有差异,最终显示格式与用户使用的日志解析工具有关,请以实际情况为准。

表1-1 Flow1.0日志信息包含的字段

字段

描述

SrcIP

NAT转换前的源IP地址

DestIP

NAT转换前的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

StartTime

流起始时间,以秒为单位,从1970/1/1 0:0开始计算

EndTime

流结束时间,以秒为单位,从1970/1/1 0:0开始计算

Operator字段取值为6时,该字段为0

Protocol

IP承载的协议类型

Operator

操作字,记录生成Flow日志的原因:

·         0:保留不用

·         1:正常流结束

·         2:定时器超时老化

·         3:清除配置/配置变动引起的流老化

·         4:资源不足带来的流老化

·         5:保留不用

·         6:活跃流定期记录其连接情况

·         7:新的流创建触发强制删除原有流

·         8:流创建

·         FE:其他

·         10~FE-1:以后扩充用

Reserved

保留

 

表1-2 Flow3.0日志信息包含的字段

字段

描述

Protocol

IP承载的协议类型

Operator

操作字,记录生成Flow日志的原因:

·         0:保留不用

·         1:正常流结束

·         2:定时器超时老化

·         3:清除配置/配置变动引起的流老化

·         4:资源不足带来的流老化

·         5:保留不用

·         6:活跃流定期记录其连接情况

·         7:新的流创建触发强制删除原有流

·         8:流创建

·         FE:其他

·         10~FE-1:以后扩充用

IPVersion

IP报文版本

TosIPv4

IPv4报文的Tos字段

SourceIP

NAT转换前的源IP地址

SrcNatIP

NAT转换后的源IP地址

DestIP

NAT转换前的目的IP地址

DestNatIP

NAT转换后的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

SrcNatPort

NAT转换后的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

DestNatPort

NAT转换后的TCP/UDP目的端口号

StartTime

流起始时间,以秒为单位,从1970/01/01 00:00开始计算

EndTime

流结束时间,以秒为单位,从1970/01/01 00:00开始计算

Operator字段取值为6时,该字段为0

InTotalPkg

接收的报文包数

InTotalByte

接收的报文字节数

OutTotalPkg

发出的报文包数

OutTotalByte

发出的报文字节数

InVPNID

VPN ID

OutVPNID

VPN ID

Reserved1

保留

AppID

应用协议ID

Reserved3

保留

 

表1-3 Flow5.0日志信息包含的字段

字段

描述

Protocol

IP承载的协议类型

Operator

操作字,记录生成Flow日志的原因:

·         0:保留不用

·         1:正常流结束

·         2:定时器超时老化

·         3:清除配置/配置变动引起的流老化

·         4:资源不足带来的流老化

·         5:保留不用

·         6:活跃流定期记录其连接情况

·         7:新的流创建触发强制删除原有流

·         8:流创建

·         FE:其他

·         10~FE-1:以后扩充用

IPVersion

IP报文版本

TosIPv4

IPv4报文的Tos字段

SourceIP

NAT转换前的源IP地址

SrcNatIP

NAT转换后的源IP地址

DestIP

NAT转换前的目的IP地址

DestNatIP

NAT转换后的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

SrcNatPort

NAT转换后的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

DestNatPort

NAT转换后的TCP/UDP目的端口号

StartTime

流起始时间,以秒为单位,从1970/01/01 00:00开始计算

EndTime

流结束时间,以秒为单位,从1970/01/01 00:00开始计算

Operator字段取值为6时,该字段为0

InTotalPkg

接收的报文包数

InTotalByte

接收的报文字节数

OutTotalPkg

发出的报文包数

OutTotalByte

发出的报文字节数

InVPNID

VPN ID

OutVPNID

VPN ID

AppID

应用协议ID

UserName

用户名

Reserved123

保留字段

 

配置关键点

0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +
<

亲~登录后才可以操作哦!

确定

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作