20、网络日志记录、监控与统计全解析

网络日志记录、监控与统计全解析

1. 日志记录规则与应用

在网络管理中，日志记录是一项关键工作，它能帮助我们追踪数据包的路径，排查规则集的问题。当使用 log (matches) 规则时，一旦匹配发生，后续规则也会被记录。这使得我们可以通过有针对性的日志语句，轻松追踪数据包在加载的规则集中的路径，从而更清晰地梳理复杂的规则集。

例如，有一个包含 NAT 的简单规则集，其中 log (matches) 规则如下：

match in log (matches) on $int_if from $testhost tag localnet

假设测试主机是本地网络中 IP 地址为 192.168.103.44 的工作站。当该主机查询互联网上的网站时，记录的信息如下：

Apr 29 21:08:24.386474 rule 3/(match) match in on em0: 192.168.103.44.14054 > 81.93.163.115.80: 
S 1381487359:1381487359(0) win 16384 <mss 1460,nop,nop,sackOK,nop,wscale 3,nop,nop,timestamp 
735353043[|tcp]> (DF) u
Apr 29 21:08:24.386487 rule 11/(match) block in on e