Как получить логу SNAT

Запустить прозрачный http proxy и завернуть всех через него.

А по другому можно? А то не охото ради этого поднимать проксю.

По другому не получится. Так как пакетый фильтр, который делает НАТ, работает на несколько другом уровне, и не проверяет содержимое пакета, чтобы выцеплять оттуда урлы. Это делают http прокси сервера.

urlsnarf из пакета dsniff

будет как tcpdump слушать 80 порт, выгребать из пакетов урлы и возвращает это в виде текста похожего на логи апача: кто, куда, каким браузером

Кстати, а layer7 к этому делу ещё не прикрутили? Востребованное было бы применение.