目  录

1 快速日志输出概述

1.1 快速日志输出简介

1.2 快速日志输出配置限制和指导

2 配置快速日志输出功能v2（推荐）

2.1 配置快速日志输出功能

2.2 配置日志主机的记录工具

2.3 配置快速日志输出使用UTF-8编码方式输出日志

2.4 配置快速日志输出到Kafka服务器

2.5 测试快速日志输出

2.6 快速日志输出显示和维护

3 配置快速日志输出功能v1

3.1 配置快速日志输出功能

3.2 配置快速日志输出使用UTF-8编码方式输出日志

3.3 配置快速日志输出到Kafka服务器

3.4 快速日志输出典型配置举例‌

3.4.1 将日志快速输出到日志主机

 

1 快速日志输出概述

1.1  快速日志输出简介

快速日志输出功能用于快速地将用户关心的日志发往日志主机。配置该功能后，业务模块生成的日志通过快速输出通道直接发送给日志主机，不经过信息中心模块处理。相比通过信息中心输出，该方式可以节省系统资源，更快捷。关于信息中心的详细介绍请参见“设备管理配置指导”中的“信息中心”。

日志信息按严重性可划分为如表1-1所示的八个等级，各等级的严重性依照数值从0～7依次降低。

表1-1 日志信息等级列表

数值	信息等级	描述
0	emergency	表示设备不可用的信息，如系统授权已到期
1	alert	表示设备出现重大故障，需要立刻做出反应的信息，如流量超出接口上限
2	critical	表示严重信息，如设备温度已经超过预警值，设备电源、风扇出现故障等
3	error	表示错误信息，如接口链路状态变化等
4	warning	表示警告信息，如接口连接断开，内存耗尽告警等
5	notification	表示正常出现但是重要的信息，如通过终端登录设备，设备重启等
6	informational	表示需要记录的通知信息，如通过命令行输入命令的记录信息，执行ping命令的日志信息等
7	debugging	表示调试过程产生的信息

 

1. 日志头格式

快速日志的日志头格式如下：

表1-2 日志头格式表

格式类型	格式		举例
标准格式日志头	<PRI> Timestamp AppName %%10 SN:sn VsysId:id		<134> Apr 28 15:35:32 2020 H3C %%10 SN:10056879 VsysId:1
定制格式日志头	URL过滤unicom格式	PRI Vision HostName Timestamp AppName MsgID HostName Len	142 1 100.0.0.1 2020 Apr 28 15:35:43 H3C NAT444:SessionU 57
	NAT cmcc格式	<PRI> Vision HostName Timestamp AppName ProcID MsgID	<142> 1 100.0.0.1 2020 Apr 28 15:35:32 H3C - NAT444:SessionA
	NAT unicom格式	<PRI> Vision HostName Timestamp AppName ProcID MsgID	<142> 1 100.0.0.1 2020 Apr 28 15:35:43 H3C - NAT444:SessionA
	NAT telecom格式	<PRI> Vision Timestamp HostName AppName ProcID MsgID	<134> 1 2020 Apr 28 15:35:38 100.0.0.1 H3C - NAT444:sessionbasedA

 

2. 字段说明

·     PRI：日志类型码。标准格式和NAT telecom格式固定为134；URL过滤unicom格式、NAT cmcc格式和NAT unicom格式固定为142。

·     Timestamp：日志信息产生的时间，方便用户查看和定位系统事件。格式为：YYYY Mon DD hh:mm:ss。

·     AppName：生成该日志信息的设备名称。

·     %%10：设备的厂家标志。

·     SN：设备的序列号。只有执行customlog with-sn开启携带SN功能后才会携带该字段。设备的序列号可通过display device manuinfo命令中的DEVICE_SERIAL_NUMBER字段查看。

·     VsysId：产生快速日志的虚拟系统ID。

·     HostName：快速日志输出时使用的源IPv4地址。

·     MsgID：日志消息类型。

·     Len：日志头总长度，单位为字节。

·     ProcID：固定为-。

1.2  快速日志输出配置限制和指导

设备支持通过以下功能将某些业务模块的日志发送给日志主机，这些功能按优先级从高到低的顺序依次为：

(1)     快速日志输出

(2)     Flow日志（哪些业务模块的日志支持通过Flow日志输出，以及Flow日志的详细介绍请参见“网络管理和监控配置指导”中的“Flow日志”。)

(3)     信息中心

对于同一业务模块，如果用户配置了高优先级的输出方式，则不再采用其他方式输出。

对于NAT模块的日志，customlog format和customlog host命令中指定的日志输出格式必须相同，且为日志主机要求的格式。否则，设备不会生成指定格式的日志，日志主机将接收不到日志。

目前仅TELECOM格式支持携带VNI（即VXLAN ID），且携带该字段后，设备将使用新的日志格式发送NAT模块日志。

对于IPS模块的日志，标准格式的日志与国家电网格式的日志互斥，不能同时配置两种格式的日志。同时配置这两种格式时，最后一次执行的命令生效。但标准格式和国家电网格式的日志都能与中国移动格式的日志共存。

 

设备最多支持同时指定8个日志主机，可向8个日志主机分别发送日志。两种方式指定的日志主机数量共享，当v2方式已经指定8个日志主机，则不能再使用v1方式指定新的日志主机，反之亦然。

2 配置快速日志输出功能v2（推荐）

2.1  配置快速日志输出功能

 

1. 功能简介

设备可以通过配置日志主机实例，并在实例下指定要输出的日志类型，来支持将特定类型的日志快速发送到日志主机。这种设置能够有效地将设备生成的日志集中存储和管理，便于运维人员实时监控和分析设备的运行情况，以帮助用户更好地了解和解决网络设备上的问题。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置快速日志主机，并进入日志主机视图。

customlog host v2 { hostname | ipv4-address | ipv6 ipv6-address } [ port port-number ]

缺省情况下，未配置快速日志主机。

(3)     配置向日志主机发送指定类型的快速日志。

¡     向日志主机发送防病毒模块的日志

module anti-viru

¡     向日志主机发送攻击检测与防范模块的日志

module attack-defense

¡     向日志主机发送应用审计与管理模块的日志

module audit

¡     向日志主机发送数据过滤模块的日志

module data-filter

¡     向日志主机发送文件过滤模块的日志

module file-filter

¡     向日志主机发送入侵防御模块的日志

module ips [ sgcc { policy-hit | signature-update } ]

¡     向日志主机发送国家电网格式的心跳模块日志

module keepalive sgcc

¡     向日志主机发送负载均衡模块的日志

module loadbalance [ global-intelligent-dns | local-intelligent-dns | outbound-link-lb | server-lb | transparent-dns-proxy ] *

¡     向日志主机发送NAT模块的日志

module nat [ cmcc | telecom | telecom-vni | unicom ]

¡     向日志主机发送安全策略报文匹配快速日志

module security-policy [ sgcc ]

¡     向日志主机发送国家电网格式的安全策略内容快速日志

module security-policy-config sgcc

¡     向日志主机发送会话管理模块的日志

module session

¡     向日志主机发送SSL VPN模块的日志

module sslvpn

¡     向日志主机发送带宽管理模块的日志

module traffic-policy

¡     向日志主机发送URL过滤模块的日志

module url-filter [ unicom ]

缺省情况下，未配置向日志主机发送指定类型的快速日志。

(4)     退回系统视图。

quit

(5)     （可选）配置快速日志输出时使用的源IP地址。

customlog host source interface-type interface-number

缺省情况下，快速日志输出时使用的源IP地址为出接口的主IP地址。

配置本命令后，不管实际使用哪个物理接口发送日志信息，日志信息的源IP地址均为指定接口的主IP地址。当日志主机需要根据日志的源IP对日志进行过滤显示时，请配置该命令。

(6)     （可选）配置快速输出日志的时间戳为系统时间。

customlog timestamp localtime

缺省情况下，快速输出日志的时间戳为格林威治时间。

(7)     （可选）配置快速日志输出时携带设备序列号。

customlog with-sn

缺省情况下，快速日志输出时不携带设备序列号。

(8)     （可选）配置快速日志输出时使用的语言。

customlog language { chinese | english }

缺省情况下，快速日志输出时使用的语言为英文。

目前仅部分业务支持发送中文的快速日志，且各业务日志中仅部分字段支持使用中文。例如，会话日志中仅“应用”和“分类”字段支持中文。各业务日志的具体支持情况请参见命令参考手册。

2.2  配置日志主机的记录工具

1. 功能简介

配置日志主机的记录工具，主要用于在日志主机端标志不同的日志来源，查找、过滤对应日志源的日志。

2. 配置限制和指导

本功能仅对各业务模块的标准格式，以及NAT模块的运营商格式的输出日志生效，对于其他模块的非标准格式的输出日志不生效。

未配置本功能时，将根据各业务模块输出的日志格式头中的Facility值作为日志主机的记录工具，而对于NAT模块，以CMCC、UNICOM格式输出的日志的Facility值为Local1，以TELECOM格式输出的日志的Facility值为Local0。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置快速日志主机，并进入日志主机视图。

customlog host v2 { hostname | ipv4-address | ipv6 ipv6-address } [ port port-number ]

缺省情况下，未配置快速日志主机。

(3)     配置日志主机的记录工具。

facility local-number

缺省情况下，未配置日志主机的记录工具。

2.3  配置快速日志输出使用UTF-8编码方式输出日志

1. 功能简介

如果日志接收服务器和设备使用的中文字符集编码不同，日志服务器上可能会出现中文字符乱码的情况。使用本命令可以将快转日志输出模块发送日志信息时使用的字符集编码配置为UTF-8或者GB18030。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置快速日志输出使用UTF-8编码方式输出日志。

customlog character-encoding utf-8

缺省情况下，快速日志输出使用GB18030编码方式输出日志。

2.4  配置快速日志输出到Kafka服务器

 

1. 功能简介

设备支持向Kafka日志服务器发送Kafka格式快速日志，当网络中部署了Kafka日志服务器，则可以在设备端配置Kafka服务器，并开启快速日志输出到Kafka服务器功能，设备即可向Kafka日志服务器发送Kafka格式快速日志。

其中Kafka服务器的Broker即Kafka服务器集群的成员，在设备端需要配置接收日志Broker的IP地址和端口，设备会向指定的地址发送Kafka格式快速日志。

2. 配置限制和指导

只有通过customlog format命令开启了对应模块的快速日志输出功能后，customlog kafka-server export命令才会生效。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建日志输出的Kafka服务器，并进入Kafka服务器视图。

kafka-server server-name

缺省情况下，不存在日志输出的Kafka服务器。

(3)     配置连接Kafka服务器中的Broker。

broker { hostname | ipv4-address | ipv6 ipv6-address } [ port port-number]

缺省情况下，未配置连接Kafka 服务器的Broker。

(4)     退回系统视图。

quit

(5)     开启快速日志输出到Kafka服务器功能。

customlog kafka-server server-name topic topic-name export dpi ips

缺省情况下，快速日志输出到Kafka服务器功能处于关闭状态。

(6)     开启IPS模块输出快速日志功能。

customlog format dpi ips cmcc-kafka

缺省情况下，IPS模块输出快速日志功能处于关闭状态。

2.5  测试快速日志输出

1. 功能介绍

当快速日志配置完成后，可以使用该功能生成指定类型的测试日志，检测快速日志服务器是否能正常接收到这些测试报文。

由于日志主机到日志后不会回复发送日志的设备，测试日志的发送结果需要在日志主机上查看。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     发送指定类型指定数目的测试日志。

customlog host v2 test count number { anti-virus | attack-defense | audit | data-filter | file-filter | ips | keepalive | loadbalance { global-intelligent-dns | local-intelligent-dns | outbound-link-lb | server-lb | transparent-dns-proxy } | nat | security-policy | security-policy-config | session | sslvpn | traffic-policy | url-filter } [ kernel ]

缺省情况下，未配置指定类型指定数目的测试日志。

2.6  快速日志输出显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后快速日志输出的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除快速日志输出的统计信息。

表2-1 快速日志输出显示和维护

操作	命令
显示指定日志主机当前运行状态下的内核数据信息	display customlog host v2 kernel { hostname | ipv4-address | ipv6 ipv6-address } [ port port-number ]
显示快速日志输出的相关统计信息	display customlog host v2 [ send-failed ] statistics
清除快速日志输出的统计信息	reset customlog host v2 statistics

 

3 配置快速日志输出功能v1

3.1  配置快速日志输出功能

 

(1)     进入系统视图。

system-view

(2)     开启快速日志输出功能。

customlog format { attack-defense | cntm | dns | dpi [ anti-virus | audit | data-filter | file-filter | ips [ sgcc { policy-hit | signature-update } | cmcc-kafka ] | traffic-policy | url-filter [ unicom ] ] | keepalive sgcc | lb [ dns-proxy | gslb | inbound | outbound | slb ] | nat { cmcc | telecom | unicom } | packet-filter [ sgcc ] | security-policy sgcc | session | wlan }

缺省情况下，快速日志输出功能处于关闭状态。

(3)     配置快速日志输出参数。

customlog host { hostname | ipv4-address | ipv6 ipv6-address } [ port port-number ][ facility local-number ] export { attack-defense | cmcc-sessionlog | cmcc-userlog | cntm | dns | dpi [ anti-virus | audit | data-filter | file-filter | ips | traffic-policy | url-filter] * | keepalive | lb [ dns-proxy | gslb | inbound | outbound | slb ] * | packet-filter | security-policy | session | telecom-sessionlog | telecom-userlog | unicom-sessionlog | unicom-userlog } *

缺省情况下，未配置快速日志输出参数。

port-number参数的值需要和日志主机侧的配置一致，否则，日志主机接收不到日志信息。

facility local-number参数仅对各业务模块的标准格式，以及AFT模块和NAT模块的运营商格式的输出日志生效，对于其他模块的非标准格式的输出日志均不生效。未配置本参数时，根据各业务模块输出的日志格式头中的Facility值作为日志主机的记录工具，而对于AFT模块和NAT模块，以CMCC、UNICOM格式输出的日志的Facility值为Local1，以TELECOM格式输出的日志的Facility值为Local0。

(4)     （可选）配置快速日志输出时使用的源IP地址。

customlog host source interface-type interface-number

缺省情况下，快速日志输出时使用的源IP地址为出接口的主IP地址。

配置本命令后，不管实际使用哪个物理接口发送日志信息，日志信息的源IP地址均为指定接口的主IP地址。当日志主机需要根据日志的源IP对日志进行过滤显示时，请配置该命令。

(5)     （可选）配置快速输出日志的时间戳为系统时间。

customlog timestamp localtime

缺省情况下，快速输出日志的时间戳为格林威治时间。

(6)     （可选）配置快速日志输出时携带设备序列号。

customlog with-sn

缺省情况下，快速日志输出时不携带设备序列号。

(7)     （可选）配置快速日志输出时使用的语言。

customlog language { chinese | english }

缺省情况下，快速日志输出时使用的语言为英文。

目前仅部分业务支持发送中文的快速日志，且各业务日志中仅部分字段支持使用中文。例如，会话日志中仅“应用”和“分类”字段支持中文。各业务日志的具体支持情况请参见命令参考手册。

3.2  配置快速日志输出使用UTF-8编码方式输出日志

1. 功能简介

如果日志接收服务器和设备使用的中文字符集编码不同，日志服务器上可能会出现中文字符乱码的情况。使用本命令可以将快转日志输出模块发送日志信息时使用的字符集编码配置为UTF-8或者GB18030。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置快速日志输出使用UTF-8编码方式输出日志。

customlog character-encoding utf-8

缺省情况下，快速日志输出使用GB18030编码方式输出日志。

3.3  配置快速日志输出到Kafka服务器

 

1. 功能简介

设备支持向Kafka日志服务器发送Kafka格式快速日志，当网络中部署了Kafka日志服务器，则可以在设备端配置Kafka服务器，并开启快速日志输出到Kafka服务器功能，设备即可向Kafka日志服务器发送Kafka格式快速日志。

其中Kafka服务器的Broker即Kafka服务器集群的成员，在设备端需要配置接收日志Broker的IP地址和端口，设备会向指定的地址发送Kafka格式快速日志。

2. 配置限制和指导

只有通过customlog format命令开启了对应模块的快速日志输出功能后，customlog kafka-server export命令才会生效。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建日志输出的Kafka服务器，并进入Kafka服务器视图。

kafka-server server-name

缺省情况下，不存在日志输出的Kafka服务器。

(3)     配置连接Kafka服务器中的Broker。

broker { hostname | ipv4-address | ipv6 ipv6-address } [ port port-number]

缺省情况下，未配置连接Kafka 服务器的Broker。

(4)     退回系统视图。

quit

(5)     开启快速日志输出到Kafka服务器功能。

customlog kafka-server server-name topic topic-name export dpi ips

缺省情况下，快速日志输出到Kafka服务器功能处于关闭状态。

(6)     开启IPS模块输出快速日志功能。

customlog format dpi ips cmcc-kafka

缺省情况下，IPS模块输出快速日志功能处于关闭状态。

3.4  快速日志输出典型配置举例‌

3.4.1  将日志快速输出到日志主机

1. 组网需求

将AC上NAT444用户日志以中国移动格式发送到日志主机Host上。

2. 组网图

图3-1 将日志快速输出到日志主机配置组网图

 

3. 配置步骤

(1)     配置前请确保AC和Host之间路由可达，具体配置步骤略。

(2)     配置AC

# 开启快速日志输出功能，并设置日志格式为CMCC格式。

<AC> system-view

[AC] customlog format nat cmcc

# 配置向IP地址为1.2.0.1/16的日志主机发送CMCC格式的NAT444用户日志。

[AC] customlog host 1.2.0.1 port 1000 export cmcc-userlog

# 开启NAT444用户日志功能。

[AC] nat log enable

[AC] nat log port-block-assign

[AC] nat log port-block-withdraw

(3)     配置Host

用户使用的日志主机类型不同配置方法不同，具体配置请参考日志主机的相关资料。