NAT网关日志审计与流量监控需启用SNAT会话日志、接入日志服务、配置字段索引与90天以上保留策略，并通过SQL分析实现部门/IP级流量归因，联动云防火墙可增强威胁检测能力。
配置 NAT 网关的日志审计与流量监控，核心是启用会话日志、接入日志服务、配置索引与存储策略，并通过查询分析实现可审计的流量追踪。整个过程不依赖额外硬件，但需注意权限、计费和功能兼容性。
启用会话日志并关联日志服务
会话日志是 NAT 网关流量审计的基础，仅支持 SNAT 流量（不捕获 DNAT），且要求 NAT 网关为按量付费或新购规格（固定规格实例已停止支持）。
- 登录 NAT 网关管理控制台，找到目标实例，进入「监控和日志」页签
- 点击「会话日志 > 启用会话日志」，选择已有日志服务 Project 和 Logstore，或新建
- 启用后必须立即完成两项关键配置：设置日志字段索引（如 pri_ip、bytes_from_vpc、bytes_from_pub）、设定日志保留时间（建议至少 90 天以满足常规审计周期）
构建可审计的流量分析能力
原始日志需结构化处理才能支撑分账、异常检测和合规审查。日志服务支持标准 SQL 查询，适合做部门级、IP 段级或时间段级的流量归因。
- 常用分析维度包括：源私网 IP 段（对应部门/业务系统）、出向/入向字节数、连接持续时间、协议类型
- 示例 SQL（统计各 C 类网段流量占比）：
SELECT concat(split_part(pri_ip, '.', 1), '.', split_part(pri_ip, '.', 2), '.', split_part(pri_ip, '.', 3), '*') AS net_segment,
sum(CAST(bytes_from_vpc AS BIGINT) + CAST(bytes_from_pub AS BIGINT)) AS total_bytes,
round(sum(CAST(bytes_from_vpc AS BIGINT) + CAST(bytes_from_pub AS BIGINT)) * 100.0 / (SELECT sum(CAST(bytes_from_vpc AS BIGINT) + CAST(bytes_from_pub AS BIGINT)) FROM log), 2) AS percentage
FROM log GROUP BY net_segment ORDER BY percentage DESC - 可将高频查询保存为仪表盘，设置定时告警（如某网段单日流量突增 300%）
配合云防火墙增强监控深度
会话日志只记录地址转换行为，不包含应用层内容或威胁判断。若需完整审计路径，建议联动云防火墙：
- 开启 NAT 边界防火墙开关（主备模式），使私网子网流量强制经过防火墙
- 此时除会话日志外，还可获取访问控制日志、入侵防御日志、TLS 域名识别日志等多维数据
- 在云防火墙控制台中统一查看「流量日志」，支持按源/目的 IP、端口、应用协议、威胁等级等条件组合筛选
注意事项与成本提示
日志本身不额外收取 NAT 网关费用，但日志服务会产生存储、检索与读写请求费用。实际部署前应评估日志量级：
- 每条 SNAT 会话日志约 300–500 字节，高并发场景下日均日志量可达 GB 级
- 建议开启日志压缩（如 Snappy），并在 Logstore 中配置冷热分层（热数据保 30 天，冷数据转 OSS 保留 1 年）
- 避免对全量日志做高频全文扫描，优先基于索引字段过滤后再聚合
