f1070防火墙，记录MAC上网日志

通过SNMP学习

参考这个：

05-SNMP跨三层MAC地址学习功能典型配置举例

https://www.h3c.com/cn/d_202304/1836683_30005_0.htm

两个核心事实

1. F1070 原生会话 / Flow 日志（session‑log /nat‑log）报文层面只能读到数据包二层源 MAC（边界交换机的 MAC），日志原生字段不会自动填充 PC 真实终端 MAC。
2. F1070 支持跨三层 MAC 学习（snmp‑server arp‑sync）：通过 SNMP 去读取【边界三层交换机】的 ARP 表，在防火墙本地建立 IP‑MAC 映射表；但该映射表主要用于安全策略匹配，不会自动写入会话日志字段H3C。

⚠️容易踩坑：开启跨三层 MAC 学习只能做策略控制，不能直接让会话日志输出真实 PC‑MAC。

方案一（推荐，标准审计方案）：审计下移，边界设备输出日志

把上网审计日志在边界三层交换机 / 行为审计设备输出，边界交换机是 PC 的网关，能直接看到 PC 真实源 MAC。

• 边界交换机开启会话 / 流量日志，外发 syslog 到日志服务器，日志自带 PC 真实 MAC；
• F1070 仅做 NAT、安全访问控制，不做终端 MAC 上网审计。

方案二：F1070 开启跨三层 MAC 学习 + 日志服务器做 IP‑MAC 关联回填

适用：审计日志必须从 F1070 输出的场景

步骤 1：边界三层交换机配置

1. 开启 SNMP v2c，配置只读团体；
2. 允许 F1070 的 IP 访问本机 SNMP（UDP‑161）；

步骤 2：F1070 配置跨三层同步 ARP 表（获取 PC 的 IP‑MAC 映射）

查看是否学习到 PC 的 IP‑MAC 对应表：

注意：不能跨 NAT；不支持 VRF；边界交换机 ARP 表必须完整学习所有 PC 的 ARP 条目H3C。

步骤 3：F1070 开启会话日志 /flow 日志输出

重点：F1070 输出的 syslog/flow 日志本身仍然不带真实 PC‑MAC 字段。 需要外部日志服务器（日志审计平台），导入 F1070 定期导出的snmp‑server arp‑sync tableIP‑MAC 映射表，根据日志里面的【源 IP】去数据库回填对应的真实 PC‑MAC，实现审计效果。

方案三（局限性大，仅适合小规模固定网段）

边界三层交换机开启ARP 报文镜像，把内网所有 PC 的 ARP 报文镜像一份给 F1070 专门镜像接口；F1070 开启 arp‑snooping 学习 IP‑MAC。

• 缺点：镜像流量压力大；跨 VLAN 场景配置复杂；网络改动维护成本高，生产环境一般不推荐。

❌不可行的误区

1. 直接在 F1070 开启 session‑log，就指望日志出现 PC 真实 MAC：不行，二层报文源 MAC 已经被边界三层交换机改写。
2. 开启snmp‑server arp‑sync之后，F1070 会话日志自动带上真实 MAC：不行；该表用于策略匹配，不会自动写入日志输出字段。