Squid vekil sunucu erişim günlüğü — Adli Artefakt Başvurusu (Ağ)

01Konum

Path set by the access_log directive in squid.conf; read the configuration before assuming a path
Rotated copies of the same file, if log rotation is configured

Hangi istemci adresi vekil sunucudan hangi URL'yi ya da ana makineyi istedi ve vekil sunucu nasıl yanıt verdi?
Günlük zamanı ve geçen süre verildiğinde bir işlem yaklaşık ne zaman başladı?
Bir HTTPS bağlantısı vekil sunucu üzerinden tünellendi mi ve vekil sunucu bu tünelden istemciye kaç bayt gönderdi?

Biçim	Düz metin, işlem başına bir satır. Varsayılan 'squid' biçimi: %ts.%03tu %6tr %>a %Ss/%03>Hs %<st %rm %ru %[un %Sh/%<a %mt. Bir site logformat ile başka biçimler tanımlayabilir; dosyayı hangisinin yazdığını doğrulayın.
Geçerli olduğu sürümler	Güncel Squid kaynağında belgelenen biçim kodları. Eski sürümler ve özel logformat kullanan siteler farklı olabilir.

Alan	Ne anlatır
Time (%ts.%03tu)	Epoch'tan bu yana saniye, ardından milisaniye: kaydın yazıldığı andaki 'geçerli zaman'.
Elapsed (%tr)	Milisaniye cinsinden yanıt süresi; altı karakter genişliğinde bir alanda yazılır.
Client address (%>a)	İstemcinin vekil sunucunun gördüğü kaynak IP adresi.
Result/status (%Ss/%03>Hs)	TCP_MISS gibi Squid istek durumu, bir eğik çizgi, ardından istemciye gönderilen HTTP durum kodu.
Size (%<st)	İstemciye gönderilen yanıtın uyarlamadan sonraki toplam boyutu. İsteği saymaz.
Method and URL (%rm %ru)	İstek yöntemi ve alınan ya da hesaplanan, temizlenmiş istek URL'si. CONNECT için hedef yalnızca ana makine ve bağlantı noktasıdır.
User (%[un)	İlk kullanılabilir kullanıcı adı (kimlik doğrulanmış, harici ACL veya SSL istemci adı); yoksa tire.
Hierarchy/peer (%Sh/%<a)	Squid'in hiyerarşi durumu ve son sunucu ya da eş bağlantısının IP adresi.
Content type (%mt)	Yanıtın MIME içerik türü.

Alan	Kodlama	Not
Time (%ts.%03tu)	Unix seconds and milliseconds (decimal text)	Kayıt yazıldığında, yani işlem bittiğinde yazılır. Squid işlemin başlangıcını ayrıca belgeler (%tS); bu varsayılan biçimde yer almaz. Geçen süreyi çıkarmak başlangıç için bir tahmin verir, kaydedilmiş bir başlangıç vermez.

Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.

Günlük dosyalarını ve onları yazan squid.conf dosyasını, tüm logformat ve access_log satırlarıyla birlikte toplayın. Yapılandırma olmadan sütunlar tahmindir.
Vekil sunucu ana makinesinin saat dilimini kaydedin. Zaman alanı bir epoch değeridir; UTC'ye çevirin ve ana makinenin dilimini ayrıca belirtin.
İlk ve son satırı istenen pencereyle karşılaştırın; döndürmenin ya da satır sınırının dışa aktarımı kısaltıp kısaltmadığını kontrol edin.
CONNECT satırlarını 'bu istemci şu ana makineye ve bağlantı noktasına tünel açtı' diye okuyun; tünelin içinde ne olduğuna dair bir beyan olarak okumayın.
İstemci adresini o anda geçerli olan DHCP kiralamasıyla bir ana makineye eşleyin, ardından DNS günlüğüyle ilişkilendirin. Açık (explicit) bir vekil sunucuda adı istemci değil vekil sunucu çözmüş olabilir.

Günlük bu vekil sunucudan geçeni kaydeder. Onu atlayan ya da istemcinin vekil sunucusuz eriştiği hedeflere giden trafik yoktur.
Zaman, başlangıç değil günlüğe yazma zamanıdır. Uzun bir aktarımda ikisi geçen süre kadar ayrılır ve bir tünel dakikalarca açık kalabilir.
CONNECT tüneli içindeki HTTPS varsayılan olarak çözülmez. Boyut alanı yanıt boyutudur; neyin gönderildiğini ya da yazıldığını söylemez.
Kullanıcı adı yalnızca vekil sunucu istemciyi doğruladıysa veya bir ACL yardımcısı sağladıysa görünür. Tire, kimliği belirsiz bir kişi anlamına gelmez.