防火墙日志长什么样
很多人第一次打开防火墙日志，看到一堆英文和IP地址，脑袋都大了。其实它没那么复杂，就像快递物流记录一样，每一条日志都是网络数据包的“行程单”。
比如你访问百度时，防火墙会记录：谁（源IP）发了请求，去了哪（目标IP），用了什么端口，结果是放行还是拦截。这些信息都在日志里清清楚楚写着。
常见字段解析
一条典型的日志可能长这样：
2024-04-05 10:32:15 ALLOW TCP 192.168.1.100:56789 -> 203.208.60.1:443拆开看：
• 时间戳：2024-04-05 10:32:15，事件发生时间
• 动作：ALLOW，表示允许通过
• 协议：TCP，常见的传输协议之一
• 源地址：192.168.1.100:56789，你家电脑的内网IP和随机端口
• 目标地址：203.208.60.1:443，这是百度服务器的公网IP，443是HTTPS端口
哪些行为会被记录
不是所有流量都会写进日志，默认通常只记录被拦截的连接。比如你在公司电脑试图访问某个被禁网站，防火墙挡下来的同时就会记一笔。
有些单位会开启全量日志，连正常上网也记录。这时候你会发现每天产生几百上千条记录，别慌，这是正常的。
怎么看懂异常情况
重点盯三类记录：
一是频繁被拒绝的出站连接，比如你没操作但日志显示不断尝试连外部IP，可能是中了木马；
二是来自陌生IP的入站扫描，像有人不停敲你家门试锁，这种要警惕；
三是大量失败登录尝试，特别是针对管理后台的，很可能是暴力破解。
举个例子，你晚上睡觉时发现路由器防火墙日志里有几十条来自国外IP的SSH登录请求，而你自己根本没开SSH服务，那基本可以确定有人在扫你的端口。
不同设备查看方式
家用路由器一般在管理页面“安全日志”或“系统状态”里找。比如TP-LINK的型号，登录后台后点“安全”-“防火墙日志”就能看到。
企业级防火墙如华为USG、深信服AF，日志功能更强大，支持按IP、协议、时间过滤。还可以导出CSV用Excel分析。
Windows自带防火墙也能查日志。打开“控制面板”-“Windows Defender 防火墙”-“高级设置”，右侧点击“监视”选项卡，就能看到实时连接状态。
实用小技巧
记不住IP对应哪个网站？直接复制目标IP到浏览器搜一下，很多在线工具能帮你识别归属地和域名。比如查到203.208.60.1属于Google，那访问它就是正常行为。
想快速筛选重要信息？学会用关键词过滤。搜索“DENY”或“BLOCK”能立刻找出所有被拦截的记录，比逐条翻省事多了。
长期关注某台设备？把它的内网IP记住，比如你孩子的手机是192.168.1.105，定期查日志里有没有它的异常外连，能及时发现问题。