看具体设备了

什么型号

CSAP‑SA 综合日志审计平台对二进制 userlog（flow 会话日志）支持说明

userlog 也就是 V7 防火墙的flow 二进制会话日志，区别于普通 ASCII 文本 syslog 日志H3C。

1、CSAP‑SA（AK640 等）可以接收解析 H3C 设备二进制 userlog (flow 会话日志)，不是只能接收 syslog。

• syslog：文本 ASCII 格式，端口默认 UDP514；用于系统事件、告警、操作日志。
• userlog(flow)：二进制 UDP 报文，专门传输 NAT / 会话五元组、流量统计，报文体积更小，适合高会话量场景。

关键配置要点

①防火墙 / 安全设备侧配置

V7 防火墙两种输出模式二选一： 1）二进制 userlog（flow 日志）

⚠️二进制 flow 日志不走 info‑center，独立 UDP 报文输出，不能使用 514 端口，建议自定义端口例如 5000/9002H3C。

2）syslog 文本格式会话日志（备选）

②CSAP‑SA 日志源配置（接收二进制 userlog）

新增被动采集日志源：

1. 填写设备 IP；厂商选 H3C，设备型号选择对应防火墙型号（F1000‑AK 系列等）
2. 协议仍然选 Syslog；字符集编码不要选 gbk/utf‑8，选择 bin（二进制）。
3. 监听端口，填写和设备侧 userlog flow host 配置一致的 UDP 端口（例 5000）。

注意：不是另外一套独立协议，平台在 syslog 采集框架下通过bin编码选项解析 H3C 私有二进制 userlog 报文。

常见踩坑

1. ❌二进制 userlog 填写 514 端口，与普通 syslog 冲突，解析错乱；二进制 flow 必须使用独立 UDP 端口。
2. ❌日志源字符集填 gbk/utf‑8，二进制报文被当成文本解析，出现大量乱码原始日志，无法归一化会话报表。
3. ❌第三方通用 syslog 服务器（非 CSAP‑SA）不支持解析 H3C 二进制 userlog，第三方服务器只能接收 syslog 文本格式会话日志。
4. 版本注意：老版本 CSAP‑SA 部分早期版本对新 V7 防火墙二进制 flow 适配不全，建议升级 CSAP‑SA 到 E1709P05 及以上版本。

两种方案对比

表格

如果要对接非 H3C 第三方日志平台（ELK、通用 syslog 服务器），不能发送二进制 userlog，设备侧必须配置 syslog 模式输出会话日志。

排查命令

防火墙查看 userlog 发送状态：

CSAP‑SA 查看原始日志，确认是否收到二进制报文，观察是否有归一化后的会话 / NAT 日志。

日志审计系统能否接收二进制的userlog日志，完全取决于你使用的是哪款日志审计系统。这并非一个简单的“能”或“不能”的问题，需要分情况来看：

 H3C官方日志审计平台：原生支持

如果你使用的是H3C官方的日志审计产品（如CSAP系列综合日志审计平台或iMC/U-Center等专业平台），它们原生支持接收并解析二进制的userlog (Flow) 日志。

因为这些官方平台内置了H3C私有的解码库，能够正确识别二进制格式的Flow日志。对于这类平台，在设备上配置userlog flow export host命令直接发送二进制日志是标准且推荐的方案。

 第三方通用日志平台：通常不支持

如果你使用的是第三方的通用日志服务器（如ELK、Splunk、rsyslog等），它们通常无法直接解析二进制的userlog日志。

这是因为userlog (Flow) 日志是H3C的私有二进制编码格式，而非通用的文本格式。第三方平台收到后，看到的会是乱码。

 如何适配：两种解决方案

1. 让设备以Syslog格式发送：修改H3C设备的日志输出配置，使用userlog flow syslog命令，将NAT Flow日志转换为标准的文本格式（Syslog）后再发送。这样任何标准Syslog服务器都能接收，但会增加设备CPU负担。

2. 自行开发解析程序：如果必须使用第三方平台且不能改变设备配置，唯一的办法是向H3C官方索取二进制的格式说明文档，然后自行开发程序来解析和转换日志。