Вопрос по событиям регистрируемым syslog:
Судя по всему событие conn_close_natsat (id=00600005) регистрируется дважды для каждого соединения. Один раз с connsrcip=внтренний адрес в сети и второй раз с connsrcip=внешний адрес WAN интерфейса.
Подскажите так это или нет, можно ли этого избежать?


Вот к примеру часть журнала (запрос двух файлов) где запросы сгуппированы + в конце еще две записи.

[2008-11-17 08:49:08] FW: CONN: prio=1 id=00600004 rev=1 event=conn_open_natsat rule=allow_user_web conn=open connipproto=TCP connrecvif=lan1 connsrcip=192.168.1.103 connsrcport=1135 conndestif=wan conndestip=82.204.218.39 conndestport=80 connnewsrcip=84.52.115.233 connnewsrcport=37673 connnewdestip=82.204.218.39 connnewdestport=80
[2008-11-17 08:49:08] FW: ALG: prio=1 id=00200001 rev=1 event=alg_session_open algmod=http algsesid=384209 connipproto=TCP connrecvif=lan1 connsrcip=192.168.1.103 connsrcport=1135 conndestif=core conndestip=82.204.218.39 conndestport=80 origsent=88 termsent=44
[2008-11-17 08:49:08] FW: ALG: prio=2 id=00200125 rev=2 event=request_url action=allow categories="unfiltered" audit=off override=no connipproto=TCP connrecvif=lan1 connsrcip=192.168.1.103 connsrcport=1135 conndestif=core conndestip=82.204.218.39 conndestport=80 origsent=448 termsent=44 url="pics.rbc.ru/img/grinf/usd/usd_dm_cb_127815_88x61.gif" algname=http-outbound algmod=http algsesid=384209
[2008-11-17 08:50:08] FW: ALG: prio=1 id=00200002 rev=1 event=alg_session_closed algmod=http algsesid=384209
[2008-11-17 08:50:09] FW: CONN: prio=1 id=00600005 rev=1 event=conn_close_natsat action=close rule=allow_user_web conn=close connipproto=TCP connrecvif=lan1 connsrcip=192.168.1.103 connsrcport=1135 conndestif=core conndestip=82.204.218.39 conndestport=80 connnewsrcip=84.52.115.233 connnewsrcport=37673 connnewdestip=82.204.218.39 connnewdestport=80 origsent=528 termsent=1005



[2008-11-17 08:49:08] FW: CONN: prio=1 id=00600004 rev=1 event=conn_open_natsat rule=allow_user_web conn=open connipproto=TCP connrecvif=lan1 connsrcip=192.168.1.103 connsrcport=1136 conndestif=wan conndestip=82.204.218.39 conndestport=80 connnewsrcip=84.52.115.233 connnewsrcport=14343 connnewdestip=82.204.218.39 connnewdestport=80
[2008-11-17 08:49:08] FW: ALG: prio=1 id=00200001 rev=1 event=alg_session_open algmod=http algsesid=384210 connipproto=TCP connrecvif=lan1 connsrcip=192.168.1.103 connsrcport=1136 conndestif=core conndestip=82.204.218.39 conndestport=80 origsent=88 termsent=44
[2008-11-17 08:49:08] FW: ALG: prio=2 id=00200125 rev=2 event=request_url action=allow categories="unfiltered" audit=off override=no connipproto=TCP connrecvif=lan1 connsrcip=192.168.1.103 connsrcport=1136 conndestif=core conndestip=82.204.218.39 conndestport=80 origsent=447 termsent=84 url="pics.rbc.ru/img/grinf/weather/120x160_pic_26063.gif" algname=http-outbound algmod=http algsesid=384210
[2008-11-17 08:50:13] FW: ALG: prio=1 id=00200002 rev=1 event=alg_session_closed algmod=http algsesid=384210
[2008-11-17 08:50:14] FW: CONN: prio=1 id=00600005 rev=1 event=conn_close_natsat action=close rule=allow_user_web conn=close connipproto=TCP connrecvif=lan1 connsrcip=192.168.1.103 connsrcport=1136 conndestif=core conndestip=82.204.218.39 conndestport=80 connnewsrcip=84.52.115.233 connnewsrcport=14343 connnewdestip=82.204.218.39 connnewdestport=80 origsent=607 termsent=6572


[2008-11-17 08:51:29] FW: CONN: prio=1 id=00600005 rev=1 event=conn_close_natsat action=close rule=allow_user_web conn=close connipproto=TCP connrecvif=core connsrcip=84.52.115.233 connsrcport=37673 conndestif=wan conndestip=82.204.218.39 conndestport=80 connnewsrcip=84.52.115.233 connnewsrcport=37673 connnewdestip=82.204.218.39 connnewdestport=80 origsent=564 termsent=1045

[2008-11-17 08:51:34] FW: CONN: prio=1 id=00600005 rev=1 event=conn_close_natsat action=close rule=allow_user_web conn=close connipproto=TCP connrecvif=core connsrcip=84.52.115.233 connsrcport=14343 conndestif=wan conndestip=82.204.218.39 conndestport=80 connnewsrcip=84.52.115.233 connnewsrcport=14343 connnewdestip=82.204.218.39 connnewdestport=80 origsent=763 termsent=6612

В приведенных логах у вас как раз все хорошо. А вообще - повторная запись это из-за использования ALG. Ее надо игнорировать.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc