1. Паспорт узла и условия регистрации
Сохраните модель, узел, установленную сборку, роль в кластере, часовой пояс и место чтения. Карточка документально привязана к NGFW 7.0.1, а не к DCFW или LogAn 7.5. Выясните, было ли включено журналирование в нужном правиле в рассматриваемый момент: сегодняшняя настройка не восстанавливает вчерашнее наблюдение. Источник регистрации — срабатывание журналируемого правила. Это не обещание полной истории всех соединений и не журнал результата бизнес-операции.
2. Отбор через интерфейс
Откройте журнал трафика, задайте период и поэтапно уточняйте правило, действие и доступные адресные условия. Сначала используйте базовый поиск; расширенную строку формируйте из него и проверяйте подсказки полей выбранного журнала. Не переносите имена полей веб-доступа в трафик. При поиске за NAT рассмотрите обе адресные формы, сохраняя направление и транспорт. Затем откройте подробность и включите нужные колонки через меню заголовков.
3. Экспорт и разбор колонок
Выгрузите отфильтрованный CSV, сохранив условия и перечень показанных столбцов. Отдельно документируйте уже настроенный автоматический экспорт и получателя; здесь его не создают. В примере Действие и Правило относятся к записи LAB-SNAT, исходная пара 192.0.2.20:53000 сопоставляется с преобразованной 203.0.113.10:61000 в заданный момент. Преобразование назначения не объявляется отсутствующим только потому, что его значение не получено. Авторские пометки примера не являются дополнительными колонками продукта.
4. Правило, сессия и счётчики
Уточните режим записи. При журналировании каждого пакета значения могут нарастать в пределах сессии; при регистрации её начала учтён только ранний участок. Поэтому нельзя суммировать повторные накопительные строки как независимые объёмы. Иллюстрация 100→180 показывает эту ошибку, но не гарантирует, что 180 — окончательный объём завершённой сессии. Перед вычитанием также подтвердите одинаковые базу, направление и отсутствие сброса. Сходство адресной пары само по себе ещё не подтверждает одну сессию.
5. Проверьте результат соединения отдельно
Разрешающее действие правила не доказывает успешного TCP/TLS-обмена, входа пользователя или выполнения запроса приложением. Свяжите время, узел, протокол и адреса до/после NAT с доступными журналами конечного сервера, прокси и сетевой телеметрией. Учитывайте, какой адрес видит каждая точка наблюдения. Не связывайте человека только с IP; при необходимости сопоставьте выдачу адреса и аутентификацию. Итог разделите на найденное срабатывание, подтверждённое преобразование, наблюдаемый обмен и результат приложения.
6. Если строки нет
Проверьте выбранный узел, период, фильтры и включение регистрации в исторической конфигурации правила. Убедитесь, что исследуется именно журнал трафика, а не веб-доступа или событий. Проверьте место хранения при подключённом LogAn, доставку к получателю, доступный период и полноту CSV. Затем ослабляйте ограничения по одному, отдельно пробуя адрес до и после NAT. Отсутствие нужной строки может быть пробелом регистрации или хранения; оно не устанавливает, что попытки соединения не было.