会话日志回答谁访问了谁
NAT 网关可以开启会话日志，记录 SNAT 与 DNAT 会话的源地址、目的地址、端口以及转换后的地址端口，并投递到日志服务。排查「内网哪台机器访问了某个外网地址」「端口映射的流量为什么没到实例」时，会话日志比逐台抓包直接得多。需要注意它记录的是会话明细，不是带宽趋势。
基本信息
| 记录内容 | SNAT 与 DNAT 会话的五元组及转换后的地址端口 |
|---|---|
| 投递目标 | 日志服务（如 SLS）等日志平台 |
| 典型用途 | 流量溯源、异常外联排查、端口映射验证 |
| 成本 | 按日志量计费，需要设置合理的保留周期 |
| 与监控的分工 | 会话日志看明细，带宽吞吐仍以监控指标为准 |
典型使用场景
- 内网某台实例被怀疑异常外联，需要确认实际访问了哪些地址
- 端口映射不通，确认 DNAT 会话是否建立、流量是否到达实例
- 排查对端白名单问题：确认实际使用的源地址与端口
- 审计场景下留存出口访问明细，按合规要求保留
- 迁移或切换后核对是否有残留的异常会话
开启会话日志
开启会话日志
NAT 网关 -> 会话日志 -> 创建投递
选择日志服务的 Project 与 Logstore
触发条件按需勾选 SNAT 或 DNAT
费用与留存：按日志量计费，设置合理保留周期
检索：在日志服务中按源 IP、目的地址或端口过滤会话日志用途对照
| 排查目标 | 关注字段 | 判断方式 |
|---|---|---|
| 异常外联 | 源地址与目的地址 | 找出高频或异常对端 |
| 映射不通 | DNAT 转换前后地址端口 | 会话是否建立 |
| 白名单问题 | 转换后源地址与端口 | 与对端登记值比对 |
| 容量评估 | 会话数量趋势 | 结合监控带宽一起看 |
会话日志回答「谁访问了谁」，带宽与吞吐趋势仍以云监控指标为准；两者混用会得出错误结论。
全量开启会话日志的日志量可能相当可观，长期保留费用不低；先用抽样或缩短保留期验证需求，再决定是否全量。