NAT 日志字段解读是什么
NAT 日志要能回答一个具体问题：某个时刻，哪个内网地址通过哪个公网地址和端口访问了什么。因此字段里必须同时包含转换前的地址端口和转换后的地址端口。不同厂商的字段命名、分隔符与时间格式都不一样，做日志解析前必须先拿到字段定义说明并逐项确认，否则会出现「解析成功但字段错位」这种更难发现的错误。
基本信息
| 必备字段 | 时间戳、内网 IP 与端口、转换后 IP 与端口、目的 IP 与端口、协议、动作结果 |
|---|---|
| 格式差异 | 各厂商字段命名与格式不同，解析前先确认字段定义 |
| 时间格式 | 确认精度与时区，避免与其他系统关联时错位 |
| 典型用途 | 事件溯源、审计核查、端口复用率与容量分析 |
| 外发方式 | syslog 到日志平台，外发前确定字段口径 |
典型使用场景
- 溯源核查：从外部通报的公网地址反查内网主机
- 审计支撑：提供指定时间段的地址转换记录
- 容量分析：统计端口复用率，评估是否需要扩充地址池
- 日志平台接入：编写解析规则前的字段摸底
- 排查解析错误：日志中有记录但字段内容错位时逐字段核对
- 合规检查：验证日志字段是否满足留存与可检索要求
字段核对清单
字段核对清单
# [ ] 时间格式与精度是否含时区，是否与其他系统一致
# [ ] 内网地址与端口是否都记录（不能只记地址）
# [ ] 转换后地址与端口是否都记录
# [ ] 目的地址与端口是否记录
# [ ] 协议字段能否区分 TCP 与 UDP
# [ ] 是否有规则名或槽位号便于定位具体映射
# [ ] 动作结果字段能否区分会话建立与拆除字段与用途
| 字段 | 用途 | 缺失后果 |
|---|---|---|
| 内网 IP 与端口 | 定位内部主机 | PAT 场景下只能定位到网段 |
| 转换后地址端口 | 与外部线索比对 | 无法把通报信息与记录对上 |
| 目的地址端口 | 确认访问目标 | 难以判断是否为同一事件 |
| 时间戳 | 确定时间窗口 | 无法关联 DHCP 与认证记录 |
| 动作结果 | 区分会话建立与结束 | 统计口径失真 |
解析规则写好后用一条已知流量的日志做正反向校验：手上有确定的会话信息，看解析结果是否与之一致，比抽样目测可靠得多。
时间戳没有时区或未同步时钟，跨设备关联会整体错位，这类问题在解析阶段看不出来，只在关联分析时暴露。