路由器日志到底在记什么
很多人觉得路由器就是个“通网的盒子”，插上电就完事。其实它每时每刻都在记录网络行为，就像汽车的行车记录仪。你什么时候连了WiFi，访问了哪个网站，有没有设备在疯狂上传数据，这些都会被写进路由器日志里。
日志内容不是随便写的，它遵循特定的协议格式。常见的比如Syslog、NetFlow、IPFIX，它们决定了信息怎么打包、发给谁、包含哪些字段。搞清楚这些协议，才能真正读懂日志里的“黑话”。
Syslog：最常用的日志传输方式
Syslog是大多数家用和企业路由器默认使用的日志协议。它通过UDP 514端口发送文本格式的日志消息，结构简单，适合实时传输。
一条典型的Syslog消息长这样：
<165>Oct 10 14:23:11 router01 dhcpd[123]: DHCPREQUEST for 192.168.1.100 from aa:bb:cc:dd:ee:ff via wlan0</code></pre>
这里开头的<165>是优先级值，由设施码（Facility）和严重等级（Severity）计算得出。后面是时间戳、设备名、服务进程和具体事件。这种格式虽然看起来乱，但拆开看每一部分都有明确含义。
NetFlow和IPFIX：流量行为的“监控录像”
如果说Syslog记的是“谁干了什么”，那NetFlow记录的就是“数据包去了哪”。它由Cisco开发，后来演变成标准IPFIX（IP Flow Information Export），专门用于记录流量会话信息。
一个NetFlow记录通常包括源IP、目的IP、源端口、目的端口、协议类型、数据包数量、字节数、开始和结束时间。这些信息能帮你发现异常外联、P2P下载、甚至内网设备被控制的情况。
比如你在晚上十点看到一条记录：
SrcIP: 192.168.1.105, DstIP: 45.77.32.19, DstPort: 4444, Packets: 8420, Bytes: 12MB</code></pre>
而你家里没人用这个IP的设备，目标地址又是个陌生IP加高危端口，基本就能怀疑有设备中木马了。
如何收集和分析这些日志
光有日志没用，得集中管理才能看出问题。可以在局域网里搭一台日志服务器，比如用rsyslog接收Syslog消息，或者部署ntopng来解析NetFlow数据。
家庭用户也可以用轻量工具，比如把路由器日志转发到树莓派，配合ELK（Elasticsearch + Logstash + Kibana）做可视化展示。虽然听起来复杂，但配置一次之后，打开网页就能看到谁在偷跑流量、哪个网站访问最多。
企业环境更讲究合规和审计，通常要求日志保存6个月以上，并启用TLS加密传输，防止日志被篡改或窃听。这时候IPFIX配合SSL/TLS封装就成了标配。
实际场景：揪出蹭网的邻居
老李家最近网速变慢，重启路由器也没用。他翻出Syslog里的一条记录：
<158>Nov 5 03:12:04 home-router kernel: DROP IN=wl0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=192.168.1.108 DST=192.168.1.1 LEN=60</code></pre>
IP 192.168.1.108不在他登记的设备列表里，MAC地址前段显示是某品牌手机。再查DHCP分配记录，发现凌晨三点自动分配了这个地址——明显是有人蹭网。他立马登录路由器后台拉黑该MAC地址，第二天网速恢复正常。
这就是日志分析的实际价值。不靠猜，用数据说话。
别让日志成摆设
很多人的路由器从不看日志，或者根本没开启远程日志功能。一旦出事，连什么时候被入侵的都说不清。建议至少开启Syslog输出，指向内网某个稳定设备。哪怕只是定期翻一翻，也能早一步发现异常。
协议本身也在升级。传统Syslog没有加密，容易被中间人窃取；现在推荐使用Syslog over TLS。NetFlow v9和IPFIX支持模板机制，能灵活扩展字段，更适合现代复杂网络。
理解这些协议，不是为了当黑客，而是让自己在网络世界里多一双眼睛。