华三防火墙快速日志和流日志区别以及如何联动深信服sip logger

 一、快速日志与流日志核心区别

1. 格式差异：

   快速日志：采用ASCII文本格式（syslog标准），传输效率较低，但通用性强（技术资料明确说明："系统日志传输格式为ASCII码"）

   流日志：使用二进制格式传输（技术资料多次提到"Flow日志是以二进制格式传输"），专为大流量场景设计，传输效率高但需专用解析器

2. NAT日志支持：

   NAT活跃流日志仅支持流日志输出（技术资料指出："NAT活跃流日志仅支持通过流日志输出方式发送到日志主机"）

   技术资料特别说明："NAT日志需要勾选流日志模块"才能正常输出

3. 性能影响：

   大量日志场景下，流日志可降低设备CPU负载（M9000升级案例明确提到错误配置syslog格式会导致CPU异常增高）

 二、深信服SIP日志解析问题解决方案

1. 不需要改为流日志：

   日志内容 NAT444:SessionW|1767793961|... 显示日志已正常发送

   问题根源是日志格式解析不匹配（技术文档中"CSAP-SA审计平台乱码案例"与此高度一致）

2. 关键配置调整：

    强制使用本地时间戳格式（解决时间解析问题）

   customlog timestamp localtime

    确认日志格式标准化（文档强调需匹配解析器）

   customlog format session

   customlog format dpi ips

3. 深信服端配置要求：

   需在SIP Logger中启用H3C NAT444专用解析模板

   检查日志字段映射关系（特别是带管道符的扩展字段）

 三、终极故障排查步骤

1. 设备端验证：

   display customlog host   确认日志主机连接状态

   display nat log          验证NAT444日志生成

2. 网络层检查：

   防火墙到深信服的514/UDP端口需放行（技术资料要求"配置日志主机地址及端口"）

   通过debug customlog捕获原始日志验证格式