前提:
ELK服务器已经部署:ELK7.5
需求:
需要采集路由器NAT访问记录,查看被远程访问的次数
一、路由器
1、开启NAT日志功能
<MSR56> system-view
[MSR56] nat log enable
2、开启NAT新建、删除会话和活跃流的日志功能
#根据需求选择开启,这里为了减少日志输出没有开启删除会话记录
[MSR56] nat log flow-begin
[MSR56] nat log flow-active 10
3、配置Flow日志信息输出到信息中心(默认Flow日志不输出)
[MSR56] userlog flow syslog
直接配置Flow日志输出到logstash会显示乱码
4、配置信息中心日志输出到logstash服务器
#10.5.10.126为logstash服务器IP
[MSR56] info-center loghost 10.5.10.126
二、logstash服务器
1、前台启动,查看到路由器输入的日志
<190>Jan 19 15:57:59 2022 MSR56 %%10NAT/6/NAT_FLOW: -Slot=2; Protocol(1001)=UDP;Application(1002)=dns;SrcIPAddr(1003)=10.5.40.9;SrcPort(1004)=29025;NatSrcIPAddr(1005)=163.63.111.150;NatSrcPort(1006)=21051;DstIPAddr(1007)=200.96.128.86;DstPort(1008)=53;NatDstIPAddr(1009)=200.96.128.86;NatDstPort(1010)=53;InitPktCount(1044)=0;InitByteCount(1046)=0;RplyPktCount(1045)=0;RplyByteCount(1047)=0;RcvVPNInstance(1042)=;SndVPNInstance(1043)=;RcvDSLiteTunnelPeer(1040