一. NAT444日志概述

1. 用户溯源要求

NAT444是两次NAT44的简称，属于IPv6过渡技术的一种。在IPv4地址向IPv6演进的过渡期内，NAT444方案可以有效延缓IPv4的使用期限，为IPv6的最终全面部署争取时间。

NAT444技术是需要在运营商设备上配置NAT功能的。由于最终给用户分配的是私网地址，所以可能会出现多用户对应同一个公网IP地址且访问不同业务的情况，这就给用户日志溯源带来了相应难度。

如下图所示，NAT444采用端口块分配方式，从根本上解决了溯源的问题：

2. 日志格式说明

根据标准规定，NAT444设备（或板卡）支持以下两大类地址溯源日志：

1）基于用户的地址及端口段的分配日志以及回收日志

CGN设备针对给用户分配的地址，实时或定时将每一条地址与端口段之间的映射关系，以文本的格式通过设备相应接口发送给地址溯源系统。每条日志至少应包含如下信息，如下表所示：

2）上网过程中产生的Session新建及拆除日志

为减轻设备负担，用户每新建Session时，可以设置CGN设备不需要送出日志，但是待拆除Session时，CGN设备必须送出一条日志。日志通过syslog方式或Flow方式上报给地址溯源系统。同样的，每条日志至少需要包含如下信息：

3. 日志样例

1）电信日志样例

n 用户开始日志 <H3C> 1 Aug 7 20:34:08 192.168.240.107 H3C - NAT444:userbasedA [17 22.1.1.201 - 33.1.1.100 - 50001 50010]

n 用户结束日志 <H3C> 1 Jun 7 20:34:08 192.168.240.107 H3C - NAT444:userbasedW [17 22.1.1.201 - 33.1.1.100 - 50001 50010]

n Session开始日志 <H3C> 1 Jun 17 12:34:08 192.168.240.107 H3C - NAT444:sessionbasedA [6 172.16.1.171 - 12.1.32.171 19238 40704 -]

n Session结束日志 <H3C> 1 Jun 17 12:34:08 192.168.240.107 H3C - NAT444:sessionbasedW [6 172.16.1.171 - 12.1.32.171 19238 40704 -]

2）联通日志样例

n 用户开始日志 <H3C> 1 Jun 5 12:34:08 172.128.249.107 H3C - NAT444:PortA 1342026384|1.0.4.7|2.0.0.108|26536|27535

n 用户结束日志 <H3C> 1 Jun 5 12:34:08 172.128.249.107 H3C – NAT444:PortW 0|1.0.3.55|2.0.0.213|55536|56535

n Session开始日志 <H3C> 1 Jun 5 12:34:08 172.128.249.107 H3C - NAT444:SessionA 1341932637|0|1.0.64.6|2.0.0.0|26530|2.0.0.254|1025|17

n Session结束日志 <H3C> 1 Jun 5 12:34:08 172.128.249.107 H3C - NAT444:SessionW 1341932637|0|1.0.64.6|2.0.0.0|26527|2.0.0.254|1025|17

二. NAT444常见日志分析

1. 组网说明

如上图所示，测试仪器与被测设备之间直连。测试仪模拟2个用户发送2个UDP会话，设备能够正确发出日志，包括用户地址（端口块）日志及会话日志。

2. 设备侧配置

<FW>

#

userlog flow export version 3

userlog flow syslog

userlog flow export host 192.168.207.198 30017

#

session log packets-active 5

session log time-active 10

session synchronization enable

#

vlan 101 to 102

#

interface Ten-GigabitEthernet0/1.101

vlan-type dot1q vid 101

ip address 192.168.1.1 255.255.255.0

#

interface Ten-GigabitEthernet0/1.102

vlan-type dot1q vid 102

nat444 outbound static

ip address 200.1.1.1 255.255.255.0

#

zone name Trust id 2

priority 85

import interface Ten-GigabitEthernet0/1.101

zone name Untrust id 4

priority 5

import interface Ten-GigabitEthernet0/1.102

interzone source Trust destination Untrust

session log enable

interzone source Untrust destination Trust

session log enable

#

info-center loghost 192.168.207.198

info-center format china-telecom（电信格式配置）

（联通格式配置info-center format china-unicom-nat444）

#

nat444 static local 10.0.0.2 10.0.0.11 global 200.1.1.2 200.1.1.11 port-range 2001 52000 block-size 1000

nat444 log user

nat444 log session-start

nat444 log session-end

3. 结果分析

1） 测试仪配置源IP地址为10.0.0.2的用户的两个UDP（协议配置为UDP，并变换源端口，变化数目2）应用；

发起测试流量，并等待一段时间后停止流量，查看防火墙命令行下的NAT日志有如下结果：

分析：可以看到NAT444日志格式为电信格式，包括4种共6条日志，分别为用户上线日志（userbasedA）、session开始日志（sessionbasedA）、session结束日志（sessionbasedW）、用户下线日志（userbasedW）。

日志参数对照说明：

NAT444：userbasedA [17 10.0.0.2 – 200.1.1.2 -2001 3000]

userbasedA ：NAT444日志类型；

17 ：IP协议号；

10.0.0.2 ：NAT转换前的用户源IP地址；

200.1.1.2：NAT转换后的用户源IP地址；

2001：NAT转换后的用户第一个源端口编号；

3000：NAT转换后的用户最后一个源端口编号；

NAT444：sessionbasedA [17 10.0.0.2 – 200.1.1.2 1024 2047]

sessionbasedA ：NAT444日志类型；

17 ：IP协议号；

10.0.0.2 ：NAT转换前的用户源IP地址；

200.1.1.2：NAT转换后的用户源IP地址；

1024：NAT转换前用的户源端口号；

2047：NAT转换后的用户源端口号；

查看防火墙WEB界面日志管理中的系统日志有如下结果：

注意：防火墙NAT444日志不在Userlog日志里显示，而是在系统日志中显示。

分析：防火墙WEB界面上的NAT444日志信息和命令行日志内容完全一致。

2）修改设备配置，将NAT444日志输出格式改为联通格式（info-center format china-unicom-nat444），按照前面的方法再进行一次测试，查看防火墙NAT444日志输出情况。

命令行下输出联通NAT444日志格式如下：

WEB界面下联通NAT444日志格式如下：

分析：联通的NAT444日志中，分为4种6条日志，包括用户上线日志为（PortA）、用户下线日志（PortW）、会话创建日志（SessionA）以及会话删除日志（SessionW）

日志参数对照说明：

NAT444：PortA 1403278781 | 10.0.0.2 |200.1.1.2 |2001 |3000

PortA ：NAT444日志类型；

1403278781：转换开始时间，从1970-1-1 00:00:00开始的秒数；

10.0.0.2 ：NAT转换前的用户源IP地址；

200.1.1.2：NAT转换后的用户源IP地址；

1024：NAT转换前用的户源端口号；

2047：NAT转换后的用户源端口号；

NAT444：SessionA 1403278781 |0| 10.0.0.2 |200.1.1.2 |2278|200.1.1.254|1024 |17

PortA ：NAT444日志类型；

1403278781：转换开始时间，从1970-1-1 00:00:00开始的秒数；

0：转换结束时间，从1970-1-1 00:00:00开始的秒数；（注意对于SessionA类型日志，该值为0，只有SessionW类型日志该值有意义。）

10.0.0.2 ：NAT转换前的用户源IP地址；

200.1.1.2：NAT转换后的用户源IP地址；

2278：NAT转换后用的户源端口号；

200.1.1.254：用户访问的目的地址；

1024：用户访问的目的端口；

17：IP协议号；

备注：本实验采用SecBlade FW二代板卡进行测试，版本号Version 5.20, Release 3179.