日志溯源53 条

代理与防火墙日志对账

代理日志记录应用层请求，防火墙记录连接五元组：两套日志对同一连接的时间与字节数应能对上，对不上先查时区与采样差异。

对账键	时间 + 源 IP + 目标 IP/域名
校验	字节数、连接时长、状态

抽样对账

grep '203.0.113.10' /var/log/squid/access.log | tail -5
grep '203.0.113.10' /var/log/firewall.log | tail -5

NAT 环境里源 IP 在防火墙上会显示为网关地址，对账要用转换后的地址。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌