网络防火墙日志怎么看
你有没有遇到过突然上不了某个网站，或者公司电脑连不上外部系统的情况？很多时候，问题就藏在网络防火墙的日志里。很多人一听到“日志”就觉得头疼，其实只要掌握几个关键点，看懂防火墙日志并不难。
先搞清楚防火墙日志长什么样
不同品牌的防火墙界面不一样，但日志的基本结构大同小异。打开防火墙管理后台，找到“日志”或“安全日志”选项，通常能看到一个表格形式的记录列表。每一行代表一条事件，包含时间、源IP、目标IP、协议类型、端口号、动作（允许/拒绝）等字段。
比如某条记录显示：2024-05-10 14:23:11，源IP是192.168.1.100，目标IP是8.8.8.8，端口53，协议UDP，动作为“拒绝”。这就说明内网一台IP为192.168.1.100的电脑想访问Google的DNS服务，但被防火墙拦下了。
重点关注“拒绝”类记录
日常排查问题时，最该看的是“拒绝”或“阻断”的日志。允许的流量大多是正常的，真正出问题的往往是那些被拦下的连接。比如你在办公室打不开企业微信，去查日志发现所有发往腾讯服务器IP段的443端口请求都被拒绝了，那基本就能锁定是防火墙策略限制导致的。
有时候同事说“我电脑没问题，昨天还能用”，这时候别急着反驳，直接翻日志比谁都快。可能只是管理员刚更新了策略，把某个应用的出口给关了。
学会看懂常见字段含义
时间戳不用多说，精确到秒才能对上故障发生的时间。源IP是你内部哪台设备发起的请求，目标IP是它想连的外部地址。协议一般是TCP、UDP或ICMP，端口则对应具体服务，比如80是HTTP，443是HTTPS，22是SSH。
如果看到大量来自同一个外网IP的连接尝试，且都被拒绝，可能是有人在扫描你的网络。这时候虽然没造成实际影响，但也值得提醒管理员关注。
举个实际例子
小李说他无法远程连接家里的NAS，但手机热点下可以。回到公司Wi-Fi就不行。查公司防火墙日志发现，所有目标端口为22的TCP请求都被阻止了。原因很简单——公司策略禁止员工对外发起SSH连接。解决方案要么走VPN，要么申请例外规则。
导出日志也能用文本工具分析
有些防火墙支持导出CSV或TXT格式的日志文件。你可以用Excel打开，按源IP或目标IP排序，快速找出高频访问或异常行为。比如某个IP频繁尝试连接多个外网端口，可能是中病毒了。
更高级一点，可以用记事本或Notepad++打开原始日志文件，搜索关键字如“deny”、“drop”来定位阻断记录。
May 10 14:23:11 FW1 kernel: DROP IN=eth0 OUT= MAC=xx:xx:xx SRC=192.168.1.100 DST=8.8.8.8 PROTO=UDP SPT=12345 DPT=53 [SRC PORT, DST PORT]像上面这种Linux防火墙（如iptables）的日志，虽然看起来像天书，但关键信息都在里面：SRC是源IP，DST是目标IP，DPT是目标端口，DROP表示丢弃。对照着查，慢慢就熟悉了。
别忽视日志的时间同步问题
如果防火墙时间和你的电脑差了好几个小时，排查起来会非常麻烦。建议确保防火墙启用了NTP时间同步，这样和其他设备的日志才能对得上。
另外，日志量太大时，可以设置过滤条件，比如只看某个IP的记录，或只看某段时间内的拒绝事件，避免信息过载。