- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
08-Flow日志配置
本章节下载： 08-Flow日志配置 (301.62 KB)
目 录
Flow日志用来记录NAT会话信息，主要包括用户访问网络的流的5元组信息（源IP地址、目的IP地址、源端口、目的端口、协议号），以及发送和接收的报文统计信息。
Flow日志有两种输出方式：
· 将Flow日志封装成UDP报文直接发送给网络中的日志主机。日志主机可以对Flow日志进行解析和分类显示，以达到远程监控的目的。
· 将Flow日志输出到本设备的信息中心模块，再通过设置信息中心的输出参数，最终决定Flow日志的输出方向。关于信息中心的详细介绍，请参见“设备管理配置指导”中的“信息中心”。
通常情况下，用户访问网络会在短时间内产生大量NAT会话日志。系统日志传输格式为ASCII码，相比Flow日志的二进制格式传输效率低。所以，建议在日志量较小的情况下，使用输出到信心中心的方式。
Flow日志根据日志信息所包含字段多少分为Flow1.0、Flow3.0和Flow5.0三个版本。三种Flow日志的内容稍有不同，具体差别请参见表1-1、表1-2和表1-3。
下表中介绍的字段是设备向日志主机方向发送的原始信息所包含的字段，可能与用户最终看到的信息格式有差异，最终显示格式与用户使用的日志解析工具有关，请以实际情况为准。
表1-1 Flow1.0日志信息包含的字段
|
字段 |
描述 |
|
SrcIP |
NAT转换前的源IP地址 |
|
DestIP |
NAT转换前的目的IP地址 |
|
SrcPort |
NAT转换前的TCP/UDP源端口号 |
|
DestPort |
NAT转换前的TCP/UDP目的端口号 |
|
StartTime |
流起始时间，以秒为单位，从1970/1/1 0:0开始计算 |
|
EndTime |
流结束时间，以秒为单位，从1970/1/1 0:0开始计算 当Operator字段取值为6时，该字段为0 |
|
Protocol |
IP承载的协议类型 |
|
Operator |
操作字，记录生成Flow日志的原因： · 0：保留不用 · 1：正常流结束 · 2：定时器超时老化 · 3：清除配置/配置变动引起的流老化 · 4：资源不足带来的流老化 · 5：保留不用 · 6：活跃流定期记录其连接情况 · 7：新的流创建触发强制删除原有流 · 8：流创建 · FE：其他 · 10~FE-1：以后扩充用 |
|
Reserved |
保留 |
表1-2 Flow3.0日志信息包含的字段
|
字段 |
描述 |
|
Protocol |
IP承载的协议类型 |
|
Operator |
操作字，记录生成Flow日志的原因： · 0：保留不用 · 1：正常流结束 · 2：定时器超时老化 · 3：清除配置/配置变动引起的流老化 · 4：资源不足带来的流老化 · 5：保留不用 · 6：活跃流定期记录其连接情况 · 7：新的流创建触发强制删除原有流 · 8：流创建 · FE：其他 · 10~FE-1：以后扩充用 |
|
IPVersion |
IP报文版本 |
|
TosIPv4 |
IPv4报文的Tos字段 |
|
SourceIP |
NAT转换前的源IP地址 |
|
SrcNatIP |
NAT转换后的源IP地址 |
|
DestIP |
NAT转换前的目的IP地址 |
|
DestNatIP |
NAT转换后的目的IP地址 |
|
SrcPort |
NAT转换前的TCP/UDP源端口号 |
|
SrcNatPort |
NAT转换后的TCP/UDP源端口号 |
|
DestPort |
NAT转换前的TCP/UDP目的端口号 |
|
DestNatPort |
NAT转换后的TCP/UDP目的端口号 |
|
StartTime |
流起始时间，以秒为单位，从1970/01/01 00:00开始计算 |
|
EndTime |
流结束时间，以秒为单位，从1970/01/01 00:00开始计算 当Operator字段取值为6时，该字段为0 |
|
InTotalPkg |
接收的报文包数 |
|
InTotalByte |
接收的报文字节数 |
|
OutTotalPkg |
发出的报文包数 |
|
OutTotalByte |
发出的报文字节数 |
|
InVPNID |
入VPN ID |
|
OutVPNID |
出VPN ID |
|
Reserved1 |
保留 |
|
AppID |
应用协议ID |
|
Reserved3 |
保留 |
表1-3 Flow5.0日志信息包含的字段
|
字段 |
描述 |
|
Protocol |
IP承载的协议类型 |
|
Operator |
操作字，记录生成Flow日志的原因： · 0：保留不用 · 1：正常流结束 · 2：定时器超时老化 · 3：清除配置/配置变动引起的流老化 · 4：资源不足带来的流老化 · 5：保留不用 · 6：活跃流定期记录其连接情况 · 7：新的流创建触发强制删除原有流 · 8：流创建 · FE：其他 · 10~FE-1：以后扩充用 |
|
IPVersion |
IP报文版本 |
|
TosIPv4 |
IPv4报文的Tos字段 |
|
SourceIP |
NAT转换前的源IP地址 |
|
SrcNatIP |
NAT转换后的源IP地址 |
|
DestIP |
NAT转换前的目的IP地址 |
|
DestNatIP |
NAT转换后的目的IP地址 |
|
SrcPort |
NAT转换前的TCP/UDP源端口号 |
|
SrcNatPort |
NAT转换后的TCP/UDP源端口号 |
|
DestPort |
NAT转换前的TCP/UDP目的端口号 |
|
DestNatPort |
NAT转换后的TCP/UDP目的端口号 |
|
StartTime |
流起始时间，以秒为单位，从1970/01/01 00:00开始计算 |
|
EndTime |
流结束时间，以秒为单位，从1970/01/01 00:00开始计算 当Operator字段取值为6时，该字段为0 |
|
InTotalPkg |
接收的报文包数 |
|
InTotalByte |
接收的报文字节数 |
|
OutTotalPkg |
发出的报文包数 |
|
OutTotalByte |
发出的报文字节数 |
|
InVPNID |
入VPN ID |
|
OutVPNID |
出VPN ID |
|
AppID |
应用协议ID |
|
UserName |
用户名 |
|
Reserved1、2、3 |
保留字段 |
(1) 配置Flow日志输出方式
请选择以下一项任务进行配置：
(2) （可选）配置Flow日志的版本
(3) （可选）配置Flow日志报文的源地址
(4) （可选）配置Flow日志的时间戳
(5) （可选）配置Flow日志的负载分担
(6) （可选）配置Flow日志的主机组
在配置Flow日志前需要通过nat log enable命令使能NAT日志功能，并根据用户需求选择开启NAT新建、删除会话日志和活跃流日志功能，关于命令的详细介绍，请参见“网络互通命令参考”中的“NAT”。
· Flow日志的两种输出方式互斥，同一时刻只能选择一种输出方式。如果同时配置了两种输出方式，则系统会自动选择输出到信息中心，而不会发送到日志主机。
· Flow日志输出至信息中心时，严重性等级为informational，即作为设备的一般提示信息。
(1) 进入系统视图。
system-view
(2) 配置Flow日志输出到日志主机。
userlog flow export host { hostname | ipv4-address | ipv6 ipv6-address } port udp-port
缺省情况下，未配置Flow日志主机的IP地址和UDP端口号。
(1) 进入系统视图。
system-view
(2) 配置Flow日志输出到信息中心。
userlog flow syslog
缺省情况下，Flow日志不输出到信息中心。
设备支持Flow1.0、Flow3.0和Flow5.0三个版本，但同一时刻只能使用一个版本。请保证与日志主机版本一致。
(1) 进入系统视图。
system-view
(2) 配置Flow日志报文的版本号。
userlog flow export version version-number
缺省情况下，Flow日志报文的版本号为1.0。
Flow日志可以使用源地址来唯一标识报文的发送者，以便对Flow日志进行过滤。指定源地址后，当设备向日志主机发送Flow日志时，就使用这个唯一IP地址作为报文的源IP地址。
推荐将Flow日志报文的源地址配置为设备上Loopback接口的地址，以屏蔽物理接口状态改变对Flow日志报文的影响。
(1) 进入系统视图。
system-view
(2) 配置Flow日志报文的源地址。
userlog flow export source-ip { ipv4-address | ipv6 ipv6-address }
缺省情况下，Flow日志报文的源地址为发送该报文的出接口IP地址。
Flow日志支持UTC和本地两种时间戳，UTC是指标准的格林威治时间，本地是指格林威治时间加上时区偏移的时间。可以使用命令clock timezone来配置需要偏移的时间。关于命令clock timezone的详细介绍，请参见“设备管理命令参考”中的“设备管理”。
(1) 进入系统视图。
system-view
(2) 配置Flow日志的时间戳使用本地时间。
userlog flow export timestamp localtime
缺省情况下，Flow日志的时间戳使用UTC时间。
缺省情况下，每一条Flow日志会复制输出给所有已配置的Flow日志主机。
配置了Flow日志负载分担功能后，Flow日志按照会话源IP进行逐流负载分担，即源IP相同的会话对应的Flow日志始终发送到特定的一台日志主机。这样可以降低用户日志发送的压力，并减少冗余日志的处理。
如果配置的日志主机不可达，Flow日志仍会进行负载分担，但负载分担到不可达的日志主机的Flow日志将被丢弃。
(1) 进入系统视图。
system-view
(2) 配置Flow日志的负载分担。
userlog flow export load-balancing
缺省情况下，Flow日志输出到所有已配置的日志主机。
缺省情况下，每一条Flow日志会输出给所有已配置的日志主机。为了方便用户从大量日志中获取特定日志信息，同时降低设备发送和处理日志的压力，可以通过配置Flow日志主机组对发往日志主机的日志进行过滤。
通过创建Flow日志主机组，可以将日志主机划分成不同的组。每个日志主机组都对应一个ACL，匹配了ACL规则的Flow日志会发送到该日志主机组中所有的日志主机。与Flow日志的负载分担功能同时使用时，日志会按照会话源IP进行逐流负载分担，即源IP相同的会话对应的日志始终发送到日志主机组中的某一特定日志主机。
如果Flow日志匹配了多个日志主机组，则按照日志主机组的名称字母序选择最先匹配上的日志主机组。
如果Flow日志没有匹配到ACL或者日志主机组没有配置日志主机，则日志主机组不生效，Flow日志输出给所有已配置的日志主机。
· 配置Flow日志主机组将要引用的ACL。请合理规划ACL的规则，使Flow日志能够按照需求发送到指定的日志主机组。
· 通过userlog flow export host命令配置将要加入Flow日志主机组的日志主机。
(1) 进入系统视图。
system-view
(2) 创建IPv4 Flow日志主机组，并进入IPv4 Flow日志主机组视图。
userlog host-group host-group-name acl { name acl-name | number acl-number }
缺省情况下，不存在IPv4 Flow日志主机组。
(3) 向IPv4 Flow日志主机组中添加IPv4日志主机。
userlog host-group host flow { hostname | ipv4-address }
缺省情况下，IPv4 Flow日志主机组中不存在IPv4日志主机。
(1) 进入系统视图。
system-view
(2) 创建IPv6 Flow日志主机组，并进入IPv6 Flow日志主机组视图。
userlog host-group ipv6 host-group-name acl { name acl-name | number acl-number }
缺省情况下，不存在IPv6 Flow日志主机组。
(3) 向IPv6 Flow日志主机组中添加IPv6日志主机。
userlog host-group host flow ipv6 { hostname | ipv6-address }
缺省情况下，IPv6 Flow日志主机组中不存在IPv6日志主机
在完成上述配置后，在任意视图下执行display命令可以显示配置后Flow日志的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令可以清除Flow日志信息。
表1-4 Flow日志显示和维护
|
操作 |
命令 |
|
查看日志的配置和统计信息 |
display userlog export |
|
查看Flow日志主机组的配置信息 |
display userlog host-group [ ipv6 ] [ host-group-name ] |
|
清除Flow日志的统计信息 |
reset userlog flow export |
如图1-1所示，用户通过在AC上配置Flow日志功能，从而实现在日志主机上（Log Host）对用户User的上网活动进行监控。
图1-1 Flow日志配置组网图
按组网图所示配置各接口的IP地址，并确保AC与AP、User、Log Host之间路由可达。
# 开启NAT日志功能。
<AC> system-view
[AC] nat log enable
# 开启NAT新建、删除会话和活跃流的日志功能。
[AC] nat log flow-begin
[AC] nat log flow-end
[AC] nat log flow-active 10
# 将Flow日志报文版本号设为3.0。
[AC] userlog flow export version 3
# 将Flow日志信息发送给Flow日志主机（地址为1.2.3.6:2000）。
[AC] userlog flow export host 1.2.3.6 port 2000
# 将2.2.2.2配置为承载Flow日志的UDP报文的源IP地址。
[AC] userlog flow export source-ip 2.2.2.2
[AC] quit
# 查看Flow日志的配置和统计信息。
<AC> display userlog export
Flow:
Export flow log as UDP Packet.
Version: 3.0
Source ipv4 address: 2.2.2.2
Source ipv6 address:
Log load balance function: Disabled
Local time stamp: Disabled
Number of log hosts: 1
Log host 1:
Host/Port: 1.2.3.6/2000
Total logs/UDP packets exported: 112/87
如图1-2所示，通过在AC上配置Flow日志主机组功能，实现在日志主机Log Host1上对用户User的上网活动进行监控。
图1-2 Flow日志主机组配置组网图
按组网图所示配置各接口的IP地址，并确保AC与AP、User、Log Host1、Log Host2之间路由可达。
# 开启NAT日志功能。
<AC> system-view
[AC] nat log enable
# 开启NAT新建、删除会话和活跃流的日志功能。
[AC] nat log flow-begin
[AC] nat log flow-end
[AC] nat log flow-active 10
# 配置Flow日志输出到日志主机。
[AC] userlog flow export host 1.1.1.2 port 2000
[AC] userlog flow export host 2.2.2.2 port 2000
# 将3.3.3.3配置为承载Flow日志的UDP报文的源IP地址。
[AC] userlog flow export source-ip 3.3.3.3
# 配置用于匹配日志信息的ACL，匹配源IP为169.1.1.3的报文。
[AC] acl basic 2000
[AC-acl-ipv4-basic-2000] rule 1 permit source 169.1.1.3 0.0.0.0
[AC-acl-ipv4-basic-2000] quit
# 创建IPv4 Flow日志主机组并添加日志主机。
[AC] userlog host-group test acl number 2000
[AC-userlog-host-group-test] userlog host-group host flow 1.1.1.2
[AC-userlog-host-group-test] quit
# 查看Flow日志主机组的配置信息。
[AC] display userlog host-group test
Userlog host-group test:
ACL number: 2000
Flow log host numbers: 1
Log host 1:
Host/port: 1.1.1.2/2000
# 用户User上网之后，查看Flow日志的统计信息。
[AC] display userlog export
Flow:
Export flow log as UDP Packet.
Version: 1.0
Source ipv4 address: 3.3.3.3
Source ipv6 address:
Log load balance function: Disabled
Local time stamp: Disabled
Number of log hosts: 2
Log host 1:
Host/Port: 1.1.1.2/2000
Total logs/UDP packets exported: 13/13
Log host 2:
Host/Port: 2.2.2.2/2000
Total logs/UDP packets exported: 0/0
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
