NAT 日志是什么
NAT 日志记录一条会话在转换前后的地址与端口对应关系，是安全事件回溯到具体内网主机的唯一依据。在使用端口复用的场景下，同一个公网地址会同时承载大量内网主机的会话，只有记录了端口才能区分是主机 A 还是主机 B 发出的流量。日志一旦缺失或时间不准，外部通报攻击源时就无法定位到责任人，也无法完成等保要求的审计留存。
基本信息
| 关键字段 | 时间、内网源地址与端口、转换后公网地址与端口、目的地址端口、协议 |
|---|---|
| 留存要求 | 按内部与行业合规要求留存（常见不少于六个月） |
| 外发方式 | syslog 发送到日志服务器或网管平台，部分设备支持 API 采集 |
| 前提条件 | 设备与日志服务器可达，且设备时间与统一时钟源同步 |
| 告警项 | 日志服务器可达性、剩余容量、外发队列积压情况 |
典型使用场景
- 安全事件回溯：根据公网地址与端口定位具体内网主机与时间点
- 合规审计：提供 NAT 日志留存的证明与定期检查记录
- 异常流量排查：按源地址统计会话数，发现异常外联行为
- 容量分析：结合会话日志评估地址池端口使用趋势
- 变更验证：确认新增地址池或规则后，日志中的转换结果符合预期
检查项
检查项
1. NAT 日志是否开启并成功外发到日志服务器
2. 设备时间与统一时钟源同步，时间戳可与其他设备对齐
3. 抽一条记录，反向验证能否定位到具体内网主机
4. 日志服务器容量与保留周期是否满足合规要求
5. 外发链路中断的告警是否有人接收与处置关键字段与用途
| 字段 | 含义 | 用途 |
|---|---|---|
| 时间 | 日志产生时间 | 与其他设备日志关联的时间基准 |
| 源地址端口 | 内部主机的原始地址与端口 | 回查责任主机 |
| 转换后地址端口 | 公网侧看到的地址与端口 | 与外部通报的地址端口对应 |
| 目的地址端口 | 访问的目标地址与端口 | 判断访问对象与业务类型 |
| 协议 | TCP 或 UDP | 区分会话类型与统计口径 |
日志时间不同步会让多设备关联分析失去意义：IP 地址会被回收再分配，需要用时间点加端口才能精确锁定当时的使用者，NTP 同步是日志体系的前提而非可选项。