SecPath F5000 如何开启流日志格式的NAT转换记录？

1.13  NAT Flow日志配置举例‌

1.13.1  NAT Flow日志基本配置举例

1. 组网需求

用户通过在设备Device上配置Flow日志功能，实现在日志主机上（Log Host）对用户User的上网活动进行监控。

2. 组网图

图1-2 Flow日志配置组网图

表1-2 组网图示例接口与设备实际接口对应关系

3. 配置步骤

(1)     ‍配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Sysname> system-view

[Sysname] sysname Device

[Device] interface loopback 0

[Device-LoopBack0] ip address 2.2.2.2 255.255.255.0

[Device-LoopBack0] quit

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 169.1.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] ip address 1.1.1.1 255.255.255.0

[Device-GigabitEthernet1/0/2] quit

[Device] interface gigabitethernet 1/0/3

[Device-GigabitEthernet1/0/3] ip address 3.3.3.3 255.255.255.0

[Device-GigabitEthernet1/0/3] quit

(2)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到日志主机和Internet的下一跳IP地址为和1.1.1.2和3.3.3.1，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 1.2.3.0 24 1.1.1.2

[Device] ip route-static 0.0.0.0 0 3.3.3.1

(3)     配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/2

[Device-security-zone-DMZ] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/3

[Device-security-zone-Untrust] quit

(4)     配置安全策略

# 配置名称为loglocalout的安全策略规则，使Device可以向日志主机发送日志信息报文，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name loglocalout

[Device-security-policy-ip-1-loglocalout] source-zone local

[Device-security-policy-ip-1-loglocalout] destination-zone dmz

[Device-security-policy-ip-1-loglocalout] source-ip-host 2.2.2.2

[Device-security-policy-ip-1-loglocalout] destination-ip-host 1.2.3.6

[Device-security-policy-ip-1-loglocalout] action pass

[Device-security-policy-ip-1-loglocalout] quit

# 配置名称为trust-untrust的安全策略规则，使用户User可以正常访问Internet，具体配置步骤如下。

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-2-trust-untrust] source-zone trust

[Device-security-policy-ip-2-trust-untrust] destination-zone untrust

[Device-security-policy-ip-2-trust-untrust] source-ip-subnet 169.1.1.0 24

[Device-security-policy-ip-2-trust-untrust] action pass

[Device-security-policy-ip-2-trust-untrust] quit

[Device-security-policy-ip] quit

(5)     配置Flow日志

# 开启NAT新建、删除会话和活跃流的日志功能，具体配置步骤如下。

[Device] nat log enable

[Device] nat log flow-begin

[Device] nat log flow-end

[Device] nat log flow-active 10

[Device] userlog flow export version 3

# 配置将Flow日志信息发送给Flow日志主机，将2.2.2.2配置为承载Flow日志的UDP报文的源IP地址，具体配置步骤如下。

[Device] userlog flow export host 1.2.3.6 port 2000

[Device] userlog flow export source-ip 2.2.2.2

一、核心故障根源（你当前配置缺失 2 个关键项，互斥逻辑踩坑）
1. 两种输出模式互斥（最关键）
F5000 Comware V7 中userlog flow syslog（输出 ASCII Syslog）与userlog flow export（输出二进制 UDP 流日志）完全互斥：
只要存在userlog flow syslog，设备强制把 NAT 会话日志送入信息中心生成文本 Syslog，不会封装二进制 Flow 报文发给日志主机；
你抓包只看到 Syslog，说明设备存在这条隐藏 / 历史配置。
2. NAT 日志触发项不全，缺少nat log flow-end/flow-active
仅开启nat log flow-begin只会在会话新建时生成日志，完整 NAT 转换记录必须同时开启新建 + 销毁日志，否则流日志字段缺失、部分会话不推送。
3. 未指定 Flow 日志主机端口
userlog flow export host必须携带 UDP 端口（行业标准 2000/5140），只配 IP 不配端口配置不生效。
4. 概念区分（避免混淆）
Syslog 文本日志：ASCII 文本、UDP514，送入信息中心，记录简单 NAT 转换文本；
Flow 流日志（你要的）：二进制 UDP 报文（默认 2000 端口），标准 Flow3.0 格式，携带完整转换前后五元组、流量字节数、会话生命周期，是审计平台 / CSAP 专用 NAT 流日志。
二、完整修正配置（覆盖你现有缺失命令，逐条覆盖）
步骤 1：删除互斥的 syslog 输出开关（根治只发文本日志）
bash
运行
system-view
# 关闭流日志转syslog，解除互斥
undo userlog flow syslog

步骤 2：完整开启 NAT 全生命周期会话日志（生成 NAT 转换记录源数据）
bash
运行
# 全局开启NAT日志总开关
nat log enable
# 会话新建日志（你已有）
nat log flow-begin
# 会话销毁日志（你缺失，必须加，记录完整转换收尾）
nat log flow-end
# 可选：活跃流定时上报（10分钟推送一次在线会话，合规审计推荐）
nat log flow-active 600

步骤 3：补全二进制 Flow 流日志完整输出配置（你缺失 host 端口）
bash
运行
# 指定Flow3.0版本（你已有，保留）
userlog flow export version 3
# 指定流日志UDP源IP（你已有，保留）
userlog flow export source-ip 10.0.0.1
# 【关键缺失】添加日志主机IP+UDP端口（示例2000，按采集平台端口修改）
userlog flow export host 10.0.0.100 port 2000
# 可选：日志携带本地时区时间戳
userlog flow export timestamp localtime

步骤 4：校验配置生效，确认无 syslog 互斥项
bash
运行
# 查看流日志输出配置，确认只有export、无syslog
display userlog export
# 查看NAT日志全局开关状态
display nat all | include Log

正常输出应显示：Export flow log as UDP Packet，无 syslog 相关输出。
三、抓包验证标准
配置完成后内网 PC 访问外网产生 NAT 会话；
在防火墙上联口抓包：
目的 IP 为日志服务器、UDP 2000：二进制 Flow3.0 流日志（包含 NAT 转换前后五元组，即你需要的流格式 NAT 记录）；
UDP514 文本 Syslog 报文不再产生。
四、高频额外踩坑补充
安全策略放行流日志 UDP 报文
防火墙本机发起 UDP2000 报文到日志服务器，untrust→local/trust→local 本地策略放行 UDP2000：
bash
运行
security-zone interzone trust local
rule permit protocol udp destination-port 2000

虚拟系统 vsys 场景
如果划分了 vsys，所有nat log、userlog flow export必须在对应 vsys 视图内配置，根系统配置不生效子虚拟系统 NAT 日志。
日志平台端口匹配
主流审计平台（CSAP、iMaster）Flow 日志默认监听 UDP2000，部分第三方平台使用 5140，两端端口必须完全一致。
无法同时输出 Syslog+Flow 流日志
设备底层互斥限制，只能二选一：
要二进制流日志审计：只用userlog flow export；
要文本 Syslog 排查：只用userlog flow syslog。
五、最简生效配置汇总（可直接复制粘贴）
bash
运行
system-view
# 解除互斥，关闭流日志转文本syslog
undo userlog flow syslog
# 完整开启NAT全生命周期会话日志
nat log enable
nat log flow-begin
nat log flow-end
nat log flow-active 600
# Flow3.0二进制流日志输出配置
userlog flow export version 3
userlog flow export source-ip 10.0.0.1
userlog flow export host 10.0.0.100 port 2000
userlog flow export timestamp localtime
# 放行流日志本机UDP端口
security-zone interzone trust local
rule permit protocol udp destination-port 2000

六、故障自检命令
display userlog export：确认输出模式为 UDP Packet，存在日志主机 + 端口；
display nat all | include flow：确认 flow-begin/flow-end/flow-active 均为 Enabled；
display userlog export statistics：查看发送日志计数是否持续增长，计数上涨代表正常推送流日志。