飞连管理后台的日志审计功能为您提供了一个全面的日志查看和外发管理平台，您可以配置不同场景的日志外发，以及查看包括员工活动日志、管理员操作日志，以及VPN和Wi-Fi相关的员工与设备连接日志。

• 日志记录是事件驱动的，只有在员工或设备有活动时才会生成日志。例如，新员工入职并连接访客 Wi-Fi 时，系统会自动生成访客 Wi-Fi 连接日志。
• 部门日志列表包含多个列字段，您可以通过左右滑动页面来查看所有列字段。

在日志审计页面，飞连支持将日志外发至 Syslog 或者 Elasticsearch 服务上进行存储。

1. 登录飞连管理后台。

2. 在左侧导航栏，选择系统设置 ＞ 日志审计。

3. 在日志审计页面的右上角，单击日志外发管理。
   

4. 在日志外发管理页面，选择需要外发的目标场景，并单击右上角的编辑，进入协议配置界面。
   

5. 在配置外发协议类型区域，选择并配置以下外发协议类型：
   您可以为各种场景配置一种以上的外发协议，包括 Syslog 和 Elasticsearch。

   外发协议	配置项	说明
   Syslog	地址	地址是指向 Syslog 程序所在服务器的 TCP/UDP 地址，输入相应的服务器地址，例如 127.0.0.1。
   Elasticsearch	服务地址	输入 Elasticsearch 程序所在服务器的地址，例如 http://12.6.106:9200。
   	索引名称	输入用于存储日志数据的索引名称，通常由字母和下划线组成。
   	用户名	输入访问 Elasticsearch 服务所需的用户名。
   	密码	输入相应的密码。

6. 完成协议配置后，点击协议右上角的开启按钮以激活协议。
   

7. 启用协议后，点击页面右上角的保存，保存当前的协议配置。点击场景名称右侧的开启按钮，启动该场景的日志外发功能。
   

日志审计页面支持查看员工活动日志、管理员操作日志、VPN 和 Wi-Fi 连接日志等多种类型的日志。所有日志类型均支持条件过滤和关键词搜索，以便您快速定位特定日志条目。员工活动日志的数据记录可以被清除，您可以通过设置过滤条件来筛选需要清除的日志数据，然后在页面右上角点击清除日志执行操作。请注意，清除操作是不可逆的。

1. 登录飞连管理后台。
2. 在左侧导航栏，选择系统设置 ＞ 日志审计。
3. 在日志审计页面，支持查看以下信息。

   • 员工活动日志：包含员工登录登出、修改个人信息、访问应用操作类型的日志，支持条件过滤或者关键词搜索指定日志，您也可以单击自定义筛选设置筛选条件。
     员工活动日志的数据记录支持清除。您可以通过设置过滤条件筛选需要清除的日志数据，筛选后在页面右上角单击清除日志。例如，过滤条件：操作系统选择修改个人信息、账号状态选择正常运行、操作系统选择 iOS、飞连版本选择 v2.1.0。成功过滤后单击清除日志，可将当前日志列表的数据清除。

     注意

     日志清除后数据无法恢复，请谨慎操作。

     

   • 管理员操作日志：包含企业管理员在飞连管理后台各个模块操作的日志，支持条件过滤或者关键词搜索指定日志，您也可以单击自定义筛选设置筛选条件。

   • 员工 VPN 连接日志：包含企业员工通过客户端连接飞连 VPN 节点的日志信息，支持条件过滤或者关键词搜索指定日志，您也可以单击自定义筛选设置筛选条件。

     说明

     单击导出，可将当前员工 VPN 连接日志的数据导出至本地。

     在员工 VPN 连接日志列表中，未完全展示所有列字段，您可以单击列表右侧 ···，自定义列字段信息。
     

   • 员工 VPN 访问日志：包含企业员工连接飞连 VPN 节点后，访问网络资源的日志信息。该类型的日志数据量较大，仅支持通过 Elasticsearch 或 Syslog 协议外发后查看，因此您必须配置日志外发。具体配置操作，请参见配置日志外发。

     说明

     员工 VPN 访问日志列表的列字段支持自定义，单击点击修改下载字段进行配置。

     

   • 员工 Wi-Fi 连接日志：包含企业员工连接员工 Wi-Fi 的日志信息，支持条件过滤或者关键词搜索指定日志，您也可以单击自定义筛选设置筛选条件。
     在日志列表右侧的详情列单击日志详情，可进入相应员工的设备详情页。

     • 查看设备基础信息、网络连接信息、网络设备信息以及 RADIUS 信息。
     • 在页面右上角单击查看设备详情，可跳转至终端管理中的设备详情页查看。

   • 访客 Wi-Fi 连接日志：包含企业新员工或者到访人员连接访客 Wi-Fi 的日志信息，支持条件过滤或者关键词搜索指定日志，您也可以单击自定义筛选设置筛选条件。

   • 哑终端网络连接日志：包含企业哑终端设备入网的日志信息，支持条件过滤或者关键词搜索指定日志，您也可以单击自定义筛选设置筛选条件。
     在日志列表右侧的详情列单击日志详情，可进入哑终端设备详情页，查看设备、入网认证、RADIUS 认证等信息。

员工 VPN 连接日志

<14>1 2023-05-24T12:48:48+08:00 - feilian 19461 - - {
        "x_key": "vpn_connect_log",
        "open_id": "ou_dV***zYA",
        "user_name": "张三",
        "user_email": "zhangsan@example.com",
        "client_ip": "10.10.*.*",
        "device_id": "641162*****58ff43f991312093",
        "device_os": "Mac 13.2.1",
        "device_model": "Apple/MacBookPro16,2",
        "vpn_id": 1,
        "vpn_ip": "10.*.*.*",
        "connect_time": "2023-05-24T12:48:45+08:00",
        "app_version": "Mac v2.1.12",
        "option": "connect"
}

员工 VPN 访问日志

<14>1 2023-05-24T12:58:43+08:00 - feilian 13643 - - {
        "x_key": "vpn_conntrack",
        "user": "USER_ou_dV1jLvVzYA",
        "uip": "10.10.*.*:55299",
        "sip": "10.241.*.*",
        "dip": "142.251.*.*",
        "sport": "63031",
        "dport": "443",
        "protocol": "tcp",
        "host": "www.example.com",
        "action": "accept",
        "timestamp": "1684904321"
}

员工 Wi-Fi 连接日志/访客 Wi-Fi 连接日志和哑终端网络连接日志

<14>1 2023-05-24T12:48:48+08:00 - feilian 19461 - - {
        "x_key": "wifi_connect_employee",
        "radius_id": 1,
        "connect_time": "2006-01-02T15:04:05Z07:00",
        "disconnect_time": "2006-01-02T15:04:05Z07:00",
        "connection_result": 1,
        "connection_group_id": "DEFAULT",
        "connection_ip": "10.0.0.*",
        "account_id": 1,
        "account_username": "zhangsan",
        "account_type": 1,
        "device_id": "0000000000",
        "device_name": "xxxxx",
        "calling_station_id": "3a:af:28:df:f8:79",
        "called_station_id": "20:4c:03:2b:30:6c",
        "creators": "1",
        "creators_ex": [{
                "open_id": "ou_xxx",
                "user_name": "张三",
                "user_email": "aaa@example.com"
        }],
        "remark": "",
        "option": "connect"
}

员工登录日志

<14>1 2023-05-24T12:38:32+08:00 - feilian 19461 - - {
        "x_key": "employee_login",
        "open_id": "ou_dV1**zYA",
        "user_name": "张X",
        "user_email": "zhangx@example.com",
        "client_ip": "10.10.*.*",
        "user_agent": "Mac/2.1.12(CorpLink/2.1.12 (darwin; Mac 13.2.1; zh))",
        "app_version": "2.1.12",
        "device_model": "Apple/MacBookPro16,2",
        "events": "[{\"success\":true,\"error_code\":\"\",\"error_message\":\"\",\"error_message_en\":\"\",\"name\":\"users\",\"action\":\"logout\",\"changes\":[{\"ids\":[2198],\"attrs\":null}]}]",
        "action": "logout",
        "success": true,
        "timestamp": 1684903112
}

动态控制日志

<14>1 2023-05-24T13:05:05+08:00 - feilian 19461 - - {
        "x_key": "dynamic_engine",
        "id": "738e8595-ff45-4343-8326-bb3***088",
        "open_id": "ou_dV1***zYA",
        "username": "张三",
        "user_email": "zhangsan.9612@example.com",
        "did": "62c24a*****17be079189b968bb7d7",
        "trigger": "period_5_min",
        "trigger_label": "",
        "action_key": "wifi-device-downgrade",
        "timestamp": 1684904700,
        "action_record_type": 1,
        "context": {
                "user_id": 2198,
                "user_agent": "",
                "did": "62c24a3***b968bb7d7",
                "ip": "",
                "event": {},
                "params": {
                        "user_id": 21 ** 8
                },
                "result": null
        },
        "is_manual": false,
        "undo": false,
        "result_code": 0,
        "group_id": 49,
        "rule_id": 406
}

终端防病毒日志

<14>1 2023-05-24T13:10:14+08:00 - feilian 19461 - - {
        "x_key": "anti_virus",
        "event_id": "xxxx",
        "open_id": "xxx",
        "username": "",
        "user_email": "example.feilian.cn",
        "mobile": "",
        "timestamp": 17012345678,
        "report_time": 17012345678,
        "config_key": "xxx",
        "config_name": "xxx",
        "device_ip": "10.0.*.*",
        "device_id": "xxxxxxxx",
        "scan_mode": "realtime_scan",
        "scan_scene": "sensitive_file_protect",
        "scan_id": "xxx",
        "threat_object_flag": "av_object_file",
        "threat_object_id": "c:\users\mimikatz.exe+7862ac21eb3****247c188c5f8179f",
        "threat_file_path": "",
        "threat_file_hash": "xxx",
        "threat_file_size": 123,
        "threat_file_type": "win32exe",
        "process_name": "",
        "threat_type": "virus",
        "raw_malware_name": "Generic.Trojan.Mimikatz.Marte.!s!.A.301958EE",
        "threat_level": 1,
        "remediation": "remind_only"
}

设备信息日志

<14>1 2023-05-24T13:10:14+08:00 - feilian 19461 - - {
        "x_key": "device_info",
        "did": "668d9d86e6f****8a98e62725",
        "device_name": "JWVQRXWYXL",
        "os": "Mac",
        "os_ver": "14.6.1",
        "os_model": "macOS 14.6.1",
        "os_detail_version": "23G93",
        "app_ver": "3014",
        "brand": "Apple",
        "model": "Mac15,6",
        "language": "en-US",
        "client_ip": "10.10.*.*",
        "mac_addrs": "[\"4e:80:b2:60:15:8f\",\"66:6e:fe:47:42:2c\",\"66:6e:fe:47:42:2d\",\"a2:a9:97:42:15:e0\",\"36:0c:ed:a4:76:c0\",\"80:a9:97:42:15:e0\",\"66:6e:fe:47:42:0c\",\"36:0c:ed:a4:76:c4\",\"36:0c:ed:a4:76:c8\",\"66:6e:fe:47:42:0d\"]",
        "serial_number": "JWVQRXWYXL",
        "created_at": "2024-07-16T15:31:57+08:00",
        "updated_at": "2024-08-26T17:07:07+08:00",
        "is_live": true,
        "device_status": 1,
        "device_info": {
                "product_id": "",
                "serial_number": "JWVQRXWYXL",
                "memory_total": 36864,
                "memory_available": 11619,
                "disk_total": 471482,
                "disk_available": 385065,
                "cpu_model": "Apple M3 Pro",
                "cpu_serial_number": "",
                "gpu_model": "Apple M3 Pro",
                "nic_type": "Wi-Fi  (0x14E4, 0x4388)",
                "login_user": "admin",
                "is_vm": false,
                "nic_detail_list": [{
                        "nic_type": "en2",
                        "mac_addr": "36:0c:ed:a4:76:c4",
                        "active": false,
                        "description": "en2",
                        "has_traffic": false,
                        "ipv4": "",
                        "ipv6": [],
                        "is_default": "0"
                }, {
                        "nic_type": "en4",
                        "mac_addr": "66:6e:fe:47:42:0c",
                        "active": false,
                        "description": "en4",
                        "has_traffic": false,
                        "ipv4": "",
                        "ipv6": [],
                        "is_default": "0"
                }],
                "os_install_date": 1720556814,
                "ssd_serial_numbers": ["0ba0225c433cd629"]
        },
        "ext_attr_list": [{
                "id": 86,
                "def": {
                        "id": 86,
                        "name": "是否是公司设备",
                        "key": "是否是公司设备",
                        "desc": "",
                        "type": 3,
                        "is_required": false,
                        "is_unique": false
                },
                "value": true
        }],
        "groups": [{
                "id": 6,
                "name": "公司资产",
                "mode": 2
        }, {
                "id": 107,
                "name": "设备分组示例",
                "mode": 2
        }],
        "user_id": "ou_PO1***P2Va",
        "full_name": "username",
        "mobile": "",
        "email": "abc@def.com",
        "department_id": "od_yN***vzz",
        "status": 1,
        "department_path": "example/xxxx/yyyy",
        "icon_url": "https://xxxxxxx",
        "roles": [{
                "name": "Employees",
                "id": "or_N1**EV"
        }],
        "third_party_user_id": "92**3e1"
}

日志外发是实时外发吗？

正常情况下，日志会在其产生后的 1 分钟内进行外发。若因用户操作停止或网络异常，则会在工作任务恢复后从上次外发成功的最后一条日志开始。若为首次配置，仅外发最新日志，不会追溯到之前的历史日志。

网络异常时，日志外发会重发吗？

当遇到网络错误时，暂无重试次数上限，请确保网络环境良好。

• 对于 ElasticSearch 外发模式，若ElasticSearch服务返回参数错误，则会丢弃此日志，不再重试。
• 对于 SYSLOG UDP 外发模式，由于 UDP 协议无法保证通信成功，因此始终只会发送一次，不再重试。