浙江聯(lián)通NAT44分配日志技術(shù)規(guī)范一、地址溯源系統(tǒng)的定位與功能地址溯源系統(tǒng)主要有日志采集、日志留存和溯源查詢?nèi)糠纸M成，其中日志采集及留存服務(wù)器實(shí)現(xiàn)接收、分析、保存CGN設(shè)備發(fā)出的nat44分配日志，其在網(wǎng)絡(luò)中的邏輯關(guān)系如圖1所示：圖1、地址溯源服務(wù)器在網(wǎng)絡(luò)中的定位二、地址溯源系統(tǒng)與CGN設(shè)備的接口要求地址溯源系統(tǒng)與CGN設(shè)備的接口，總體要求如下：必須支持RFC5424-TheSyslogProtocol相關(guān)的規(guī)定；必須支持RFC5425-TransportLayerSecurity(TLS)TransportMappingforSyslog相關(guān)的規(guī)定；必須支持RFC5426-TransmissionofSyslogMessagesoverUDP相關(guān)的規(guī)定；必須兼容RFC3164-TheBSDSyslogProtocol相關(guān)的規(guī)定；建議支持RFC3195-ReliableDeliveryforSyslog相關(guān)的規(guī)定。地址及端口段的分配/收回日志，必須支持以syslog方式發(fā)送出地址端口段動(dòng)態(tài)映射關(guān)系。必須支持指定日志服務(wù)器的地址，并支持設(shè)置多個(gè)目標(biāo)地址，比如：將地址及端口段的分配/收回日志發(fā)送給一臺(tái)或兩臺(tái)日志服務(wù)器。浙江nat44日志采用syslog方式接收，服務(wù)器IP地址為99，端口為9514。三、分配/收回日志接口方式1、靜態(tài)分配方式CGN設(shè)備支持靜態(tài)映射表保存用戶地址映射關(guān)系的功能。CGN設(shè)備的管理系統(tǒng)中具備地址、端口固定映射關(guān)系表的創(chuàng)建、維護(hù)、重置功能，可定期將映射關(guān)系表發(fā)送給地址溯源系統(tǒng)，或出現(xiàn)映射關(guān)系表出現(xiàn)變化也將及時(shí)發(fā)送給地址溯源系統(tǒng)。即：CGN管理系統(tǒng)將所有私有地址與公網(wǎng)地址及端口段的映射關(guān)系，以逐條方式形成文本文件，然后通過接口方式發(fā)送給地址溯源系統(tǒng)采集接口主機(jī)，接口協(xié)議采用FTP。每條日志至少包含如下信息：字段說明OriginalSourceIP轉(zhuǎn)換前源地址（分配給用戶的私網(wǎng)地址）TranslatedSourceIP轉(zhuǎn)換后源地址TranslatedFirst轉(zhuǎn)換后第一個(gè)源端口編號(hào)TranslatedLast轉(zhuǎn)換后最后一個(gè)源端口編號(hào)2、動(dòng)態(tài)分配方式CGN設(shè)備每分配一個(gè)地址/端口段和收回一個(gè)地址/端口段時(shí)，均應(yīng)通過Syslog方式上報(bào)給溯源日志系統(tǒng)；Syslog消息由兩個(gè)可識(shí)別的部分組成，第一個(gè)部分稱為HEADER，第二個(gè)部分稱為MSG。整個(gè)Syslog報(bào)文采用ASCII文本方式進(jìn)行設(shè)備操作行為記錄，包的總長度必須不能超過1024個(gè)字節(jié)。本規(guī)范不對Syslog消息的最小長度作出限制。HeaderMsg1）Header定義HEADER部分應(yīng)包括PRI字段、VERSION、TIMESTAMP、HOSTNAME、APP-NAME、PROCID和MSGID字段，各字段定義如下：PRI字段：日志類型碼，由Facility和Severity值組成Facility：rfc3164標(biāo)準(zhǔn)所需屬性，建議編碼值為17Severity：rfc3164標(biāo)準(zhǔn)所需屬性，建議編碼值為6PRI=Facility*8+SeverityVERSION字段：表示溯源日志的版本號(hào)，設(shè)置為1HOSTNAME字段：表示日志發(fā)送設(shè)備的管理端口的IPv4地址，采用點(diǎn)分十進(jìn)制文本方式表示，例如：TIMESTAMP字段：包含Syslog生成的時(shí)間戳。生成該時(shí)間戳的CGN設(shè)備必須采用NTP協(xié)議，與網(wǎng)絡(luò)中其它設(shè)備進(jìn)行時(shí)間同步。TIMESTAMP字段其格式如下：<year><mon><day><hh:mm:ss>其中：year表示年份，如2011。mon表示月份，必須為以下值之一，Jan,Feb,Mar,Apr,May,Jun,Jul,Aug,Sep,Oct,Nov,Dec。表示從1月至12月。Day表示日期，必須為操作發(fā)生的當(dāng)天日期（1～31）。Hh、mm、ss分別表示操作發(fā)生的時(shí)、分、秒。APP-NAME字段：表示發(fā)送日志的設(shè)備型號(hào)PROCID字段：表示一個(gè)日志組的編號(hào)，該編號(hào)可以由數(shù)字和字符組成，在同一臺(tái)設(shè)備內(nèi)標(biāo)識(shí)互相關(guān)聯(lián)的日志，例如建立一個(gè)端口段分配表項(xiàng)與回收這個(gè)端口段表項(xiàng)。MSGID字段：表示日志消息的類型，MSGID表示該條消息的類型，其格式定義為：<設(shè)備類型>:<消息類型>。在NAT444環(huán)境中，設(shè)備類型值為NAT444；MSGID包含的消息類型有：PortA：表示該消息是分配端口段日志PortW：表示該消息是回收端口段日志2）MSG定義MSG部分采用ASCII文本形式，包含一條或多條日志記錄數(shù)據(jù)（以換行符“\n”分隔）。MSG每一行為一條日志記錄，各字段間用“|”分隔，必須包含的內(nèi)容及格式為：StartTime|OriginalSourceIP|TranslatedSourceIP|TranslatedFirstSourcePort字段類型及含義如下表：字段類型說明例如StartTime長整型開始時(shí)間，從1970-1-100:00:00開始的秒數(shù)1320370756OriginalSourceIPIP字符串轉(zhuǎn)換前源地址（分配給用戶的私網(wǎng)地址）