如何读一条连接日志：从目标到最终出口

问题边界

用一条日志回答“这个连接为什么走这里”。

机制与操作建议

1. 先对齐操作时间，排除历史连接。
2. 识别目标域名或 IP，以及是否由嗅探恢复。
3. 读取命中的规则类型与规则值。
4. 顺着策略组展开到最终节点或 DIRECT/REJECT。

可观察指标

• 日志时间与点击动作一致。
• 规则顺序能解释命中。
• 最终出口与代理组当前选择一致。

知识条目结论

日志是流量决策链，不只是错误列表。