日志审计识别锐捷设备日志错误

看看能不能改一下日志类型

✅方案 1（推荐，生产首选）：提交 H3C 400 / 售后，索要 / 生成锐捷 RSR NAT 的自定义解析规则包

CSAP-SA 支持导入自定义解析 parser（.par 规则），由 H3C 二线根据这条样例日志编写归一化规则：

1. 命中特征串 subtype="nat"，强制归类为【网络流量日志】
2. 字段映射：
   • ori_src_ip → 原始内网源 IP
   • ori_src_port → 原始源端口
   • ori_dst_ip → 目的 IP
   • ori_dst_port → 目的端口
   • rep_src_ip → NAT 转换后公网源 IP
   • rep_src_port → NAT 转换后公网源端口
   • ip_protocol → 协议号（17=UDP，53=DNS，和截图匹配）
3. 导入规则后，平台自动识别、填充五元组索引，支持 IP / 端口溯源检索。

提交工单时直接附上截图这条原始日志样例，告知设备：锐捷 RSR 路由器，nat subtype KV 格式 syslog。

✅方案 2（临时应急，自主配置自定义解析，有权限才可以）

路径：系统配置 → 日志解析 → 自定义解析规则

1. 新增规则，资产类型选择【锐捷 - 路由器】；匹配特征文本：subtype="nat"
2. 配置正则提取各个 KV 字段，日志类型强制指定：网络流量日志
3. 字段归一化映射到平台标准流量字段；保存后做规则测试，测试通过启用。

限制：很多局点运维账号没有自定义解析权限；自主正则容易漏字段、归一化不完整，审计报表 / 溯源联动可能异常，适合临时验证。

✅方案 3（改锐捷侧输出格式，改动量大，不优先）

锐捷 RSR NAT 日志支持切换为标准 Netflow/IPFIX 或者 ELOG 格式；

• 输出 Netflow 给 CSAP-NTA 探针做流量解析，而不是 syslog KV； 缺点：需要改出口路由器配置、新增探针，改动大，原有 syslog 链路要调整。

✅方案 4（兜底检索方案，不改解析，临时溯源）

在 CSAP 检索页使用原始日志全文检索，直接搜字符串： ori_src_ip="172.24.129.3"、rep_dst_ip=39.129.145.5

缺点：全文检索不走五元组索引，查询慢、无法联动审计报表、无法做流量统计，只能临时查记录。

⚠️配套排查点（容易踩坑）

1. 确认日志源资产配置：日志源 IP 填路由器出口 IP，资产厂商选择【锐捷网络】、资产类型【路由器】，不要选错；资产类型错误会影响规则匹配优先级。
2. 规则匹配顺序：自定义解析规则优先级高于内置模板，启用后优先匹配subtype="nat"这条。
3. 区分日志：锐捷普通系统日志（登录、告警）保留网元系统日志分类；只有subtype="nat"的 NAT 会话日志才识别为流量日志。