问
MSR3620查询具体IP流量日志
15小时前提问
- 0关注
- 0收藏，36浏览
MSR3620（V7 平台）分4 种流量日志 / 统计能力，按需求选择，你要「今天某时段单 IP 完整访问记录」，优先区分两种场景：
- 实时在线流缓存（NetStream cache）：只能看当前正在跑的流量，无历史时段数据；
- 本地归档流记录（cache archive）：设备本地保存短期历史流，可按日期时间过滤单 IP；
- IP 历史流量统计（ip traffic-statistics history）：仅总流量大小，无目的 IP / 端口会话；
- NAT Flow 会话日志（userlog flow）：完整会话审计（源 / 目的 IP、端口、起止时间），必须外置日志服务器，设备本地无法回溯历史。
一、先判断你设备开启了哪种功能（第一步必查）
bash
运行
# 1. 查看NetStream是否启用、是否本地归档
display ip netstream export
display ip netstream cache archive
# 2. 查看NAT Flow日志配置（是否输出日志服务器）
display userlog export
# 3. 查看用户流量历史统计是否开启
display ip traffic-statistics
二、方案 1：本地 NetStream 归档（可查今日指定时段单 IP 会话，推荐）
前提：已配置
ip netstream cache archive enable 本地存储历史流记录1）查询今日某内网 IP 全天所有流量（过滤源 IP）
bash
运行
display ip netstream cache archive verbose source 192.168.1.100 arrived-time 07/03/2026 08:00:00 07/03/2026 18:00:00
参数说明：
source x.x.x.x：内网用户 IP；destination x.x.x.x查访问某个外网目标arrived-time 起始日期 起始时间 结束日期 结束时间格式MM/DD/YYYY HH:MM:SSverbose：显示完整字段：源 / 目的 IP、端口、协议、包数、字节、会话起止时间
2）只看该 IP 访问 80/443 端口
bash
运行
display ip netstream cache archive verbose source 192.168.1.100 destination-port 80 arrived-time 07/03/2026 09:00:00 07/03/2026 12:00:00
3）只看 TCP 流量
bash
运行
display ip netstream cache archive verbose source 192.168.1.100 protocol 6 arrived-time 07/03/2026 14:00:00 07/03/2026 17:00:00
重要限制
本地归档容量很小，一般只存几小时～1 天历史，重启设备归档数据清空；长期审计必须外置日志服务器。
三、方案 2：IP 历史流量总量（只看上下行总流量，无访问明细）
适合只想查「这个 IP 今天总共跑了多少流量」，看不到访问了哪些网站
bash
运行
# 查询192.168.1.100 今日09点-17点总流量
display ip traffic-statistics history user time 07/03/2026 09:00:00 07/03/2026 17:00:00 user-ip 192.168.1.100 direction both
输出包含：上行字节、下行字节、包数，无目的 IP、端口会话明细。
四、方案 3：NAT Flow 日志（完整会话审计，本地查不到历史）
特点
能记录每一条 NAT 会话：内网 IP、公网 IP、端口、会话开始 / 结束时间、流量大小；
致命限制：Flow 日志默认实时 UDP 发送到外置日志服务器（iMC/ELK/ 日志审计），设备本地不持久存储，过去时段日志路由器上查不到，只能去日志服务器检索。
查看当前实时 Flow 输出配置
bash
运行
display userlog export
看到 Log host 地址，就去这台服务器按源 IP、时间段检索日志。
五、方案 4：实时在线流量（仅当前在线会话，无历史）
只能看现在正在跑的流量，不能查过去时段
bash
运行
# 实时过滤指定IP在线流
display ip netstream cache verbose | include 192.168.1.100
六、常用过滤管道（缩小输出）
bash
运行
# 只保留TCP
display ip netstream cache archive verbose source 192.168.1.100 arrived-time ... | include "Protocol:6"
# 只保留UDP
| include "Protocol:17"
# 过滤目的外网IP 1.2.3.4
| include 1.2.3.4
七、常见问题 & 排查
-
display ip netstream cache archive 无输出
- 未开启本地归档：系统视图下
ip netstream cache archive enable； - 时间超出归档保存周期，或设备重启清空归档；
- 未在内网 / 外网接口开启
ip netstream inbound/outbound。
- 未开启本地归档：系统视图下
-
只能看流量总量，看不到访问明细 只用了
ip traffic-statistics，没有部署 NetStream 或 Flow 日志；需要 NetStream/Flow 才能拿到目的 IP、端口明细。 -
要查昨天 / 多天前的流量 仅靠路由器本地做不到，必须提前部署日志服务器接收 Flow 日志长期存储。
八、最简操作示例（直接复制改 IP 时间即可用）
查询内网
192.168.5.66 今天 10 点到 16 点所有访问会话明细：bash
运行
display ip netstream cache archive verbose source 192.168.5.66 arrived-time 07/03/2026 10:00:00 07/03/2026 16:00:00
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论