登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

06-系统

目录

06-日志设置基本配置

本章节下载： 06-日志设置基本配置  (371.90 KB)

06-日志设置基本配置

日志设置基本配置

 

本帮助主要介绍以下内容：

·     特性简介

¡     系统日志

¡     流日志

¡     快速日志

¡     邮件服务器

¡     存储空间设置

¡     日志等级

·     日志输出配置限制和指导

·     配置指南

¡     系统日志

¡     流日志

¡     快速日志

¡     邮件服务器

¡     存储空间设置

特性简介

日志信息是设备记录的对报文处理的相关信息。网络管理员利用这些信息即可以有效监控网络运行情况和诊断网络故障；也可以实时跟踪、记录、分析用户访问网络的情况，审计用户的上网行为。设备支持输出日志的方式包括：系统日志、流日志、快速日志。

系统日志

系统日志传输格式为ASCII码，其通过设备的信息中心进行统一收集、管理和输出。设备发送系统日志信息的方向包括：控制台（console）、监视终端（monitor）、日志缓冲区（logbuffer）、日志主机（loghost）和日志文件（logfile）。

流日志

流日志简介

设备根据报文的5元组（源IP地址、目的IP地址、源端口、目的端口、协议号）对用户访问网络的流进行分类统计，并生成流日志。流日志目前主要用来记录用户访问网络所产生的NAT会话相关信息，包括5元组信息和发送、接收的字节数等。管理员利用这些信息可以实时跟踪、记录、分析用户访问网络的情况。

流日志版本

流日志根据日志信息所包含字段多少分为1.0、3.0和5.0三个版本。三种流日志的内容稍有不同，具体差别请参见表-1、表-2和表-3。

下表中介绍的字段是设备向日志主机方向发送的原始信息所包含的字段，可能与用户最终看到的信息格式有差异，最终显示格式与用户使用的日志解析工具有关，请以实际情况为准。

表-1 1.0版本流日志包含的字段

字段

描述

SrcIP

NAT转换前的源IP地址

DestIP

NAT转换前的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

StartTime

流起始时间，以秒为单位，从1970/1/1 0:0开始计算

EndTime

流结束时间，以秒为单位，从1970/1/1 0:0开始计算

当Operator字段取值为6时，该字段为0

Protocol

IP承载的协议类型

Operator

操作字，记录生成Flow日志的原因：

·     0：保留不用

·     1：正常流结束

·     2：定时器超时老化

·     3：清除配置/配置变动引起的流老化

·     4：资源不足带来的流老化

·     5：保留不用

·     6：活跃流定期记录其连接情况

·     7：新的流创建触发强制删除原有流

·     8：流创建

·     FE：其他

·     10~FE-1：以后扩充用

Reserved

保留

 

表-2 3.0版本流日志包含的字段

字段

描述

Protocol

IP承载的协议类型

Operator

操作字，记录生成Flow日志的原因：

·     0：保留不用

·     1：正常流结束

·     2：定时器超时老化

·     3：清除配置/配置变动引起的流老化

·     4：资源不足带来的流老化

·     5：保留不用

·     6：活跃流定期记录其连接情况

·     7：新的流创建触发强制删除原有流

·     8：流创建

·     FE：其他

·     10~FE-1：以后扩充用

IPVersion

IP报文版本

TosIPv4

IPv4报文的Tos字段

SourceIP

NAT转换前的源IP地址

SrcNatIP

NAT转换后的源IP地址

DestIP

NAT转换前的目的IP地址

DestNatIP

NAT转换后的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

SrcNatPort

NAT转换后的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

DestNatPort

NAT转换后的TCP/UDP目的端口号

StartTime

流起始时间，以秒为单位，从1970/01/01 00:00开始计算

EndTime

流结束时间，以秒为单位，从1970/01/01 00:00开始计算

当Operator字段取值为6时，该字段为0

InTotalPkg

接收的报文包数

InTotalByte

接收的报文字节数

OutTotalPkg

发出的报文包数

OutTotalByte

发出的报文字节数

InVPNID

入VPN ID

OutVPNID

出VPN ID

Reserved1

保留字段

AppID

应用协议ID

Reserved3

保留字段

 

表-3 5.0版本流日志包含的字段

字段

描述

Protocol

IP承载的协议类型

Operator

操作字，记录生成Flow日志的原因：

·     0：保留不用

·     1：正常流结束

·     2：定时器超时老化

·     3：清除配置/配置变动引起的流老化

·     4：资源不足带来的流老化

·     5：保留不用

·     6：活跃流定期记录其连接情况

·     7：新的流创建触发强制删除原有流

·     8：流创建

·     FE：其他

·     10~FE-1：以后扩充用

IPVersion

IP报文版本

TosIPv4

IPv4报文的Tos字段

SourceIP

NAT转换前的源IP地址

SrcNatIP

NAT转换后的源IP地址

DestIP

NAT转换前的目的IP地址

DestNatIP

NAT转换后的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

SrcNatPort

NAT转换后的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

DestNatPort

NAT转换后的TCP/UDP目的端口号

StartTime

流起始时间，以秒为单位，从1970/01/01 00:00开始计算

EndTime

流结束时间，以秒为单位，从1970/01/01 00:00开始计算

当Operator字段取值为6时，该字段为0

InTotalPkg

接收的报文包数

InTotalByte

接收的报文字节数

OutTotalPkg

发出的报文包数

OutTotalByte

发出的报文字节数

InVPNID

入VPN ID

OutVPNID

出VPN ID

AppID

应用协议ID

UserName

用户名

Reserved1、2、3

保留字段

 

快速日志

快速日志输出功能用于快速地将用户关心的日志发往日志主机。配置该功能后，业务模块生成的日志通过快速输出通道直接发送给日志主机，不经过信息中心模块处理。相比通过信息中心输出，该方式可以节省系统资源，更快捷。

邮件服务器

将邮件服务器的相关参数配置完成后，可以通过邮件将日志信息发送给接收人。

存储空间设置

存储空间用于保存流量业务以及DPI相关业务（包含审计业务、威胁业务、URL过滤业务和文件过滤业务）的日志数据。

通过设置存储空间，管理员可分别对各业务日志信息的数据保存周期、存储上限以及上限处理动作进行管理。

存储空间支持的存储设备类型包括：硬盘、U盘和内存。各业务的历史数据优先保存在硬盘中，当硬盘不在位时保存在U盘中，当U盘也不在位时才会保存在内存中。

其中，U盘的支持情况与设备型号有关，请以设备的实际情况为准。

存储空间设置的支持情况与设备型号有关，请以设备实际情况为准。

数据保存周期

存储空间中仅保存数据保存周期内的数据，当某类业务的数据保存时间超过设置的数据保存周期时，设备会根据上限处理动作对该业务的数据进行处理。

存储上限

设备为各业务占用的存储空间提供了设置上限功能。当某类业务所占的存储空间超过其设置的上限时，设备将根据上限处理动作对该业务的数据进行处理。管理员可根据实际业务情况，对各业务的存储上限进行设置。

上限处理动作

当存储空间中某类业务的历史数据超过数据保存周期，或者达到存储上限时，设备将根据该业务配置的上限处理动作对数据进行处理。

设备支持以下两种上限处理动作：

·     删除：设备将删除保存时间最长的数据以便保存最新的数据，并发送日志信息。删除日志信息时，设备将按天删除，且不可删除当天的日志信息。

·     提示：设备不对历史数据进行删除，也不保存新数据，仅发送日志信息提示用户。管理员可在“监控 > 设备日志 > 系统日志”页面中查看日志信息。

日志等级

日志信息按严重性可划分为如表-4所示的八个等级，各等级的严重性依照数值从0～7依次降低。在系统输出信息时，所有信息等级高于或等于配置等级的信息都会被输出。例如，输出规则中指定允许等级为6（informational）的信息输出，则等级0～6的信息均会被输出。

表-4 日志信息等级列表

数值

信息等级

描述

0

emergency

表示设备不可用的信息，如系统授权已到期

1

alert

表示设备出现重大故障，需要立刻做出反应的信息，如流量超出接口上限

2

critical

表示严重信息，如设备温度已经超过预警值，设备电源、风扇出现故障等

3

error

表示错误信息，如接口链路状态变化，存储卡拔出等

4

warning

表示警告信息，如接口连接断开，内存耗尽告警等

5

notification

表示正常出现但是重要的信息，如通过终端登录设备，设备重启等

6

informational

表示需要记录的通知信息，如通过命令行输入命令的记录信息，执行ping操作的日志信息等

7

debugging

表示调试过程产生的信息

 

日志输出配置限制和指导

设备支持通过系统日志、流日志和快速日志方式将某些业务模块的日志发送给日志主机，这些日志发送方式按优先级从高到低的顺序依次为：快速日志 > 流日志 > 系统日志。对于同一业务模块，如果用户配置了高优先级的输出方式，则不再采用其他方式输出。

配置指南

系统日志

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“系统日志”页签。

3.     配置系统日志的基本信息。

表-5 系统日志的基本信息配置

参数

说明

将系统日志输出到日志缓冲区

配置此功能后，设备会将业务模块生成的日志保存到日志缓冲区。其中，设备会为一些业务模块（例如会话、攻击防御等）创建单独的日志缓冲区，用来分别存储这些业务模块的日志，其它业务模块的日志会统一存储到通用日志缓冲区中

日志缓冲区上限

日志缓冲区可存储的信息条数，当存储的日志达到容量限制时，系统会直接使用最新日志覆盖最早生成的日志，此处设置的为通用日志缓冲区的上限

 

4.     单击<应用>按钮，完成系统日志的基本信息配置。

5.     单击<新建>按钮，配置系统日志主机。

表-6 系统日志主机配置

参数

说明

日志主机

支持IP地址和主机名

端口号

日志主机接收系统日志信息的端口号

VRF

日志主机所属的VPN实例

 

6.     单击<确定>按钮，新建的系统日志主机会在“系统日志”页面显示。

流日志

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“流日志”页签。

3.     配置流日志的基本信息。

表-7 流日志的基本信息配置

参数

说明

日志版本

选择流日志的版本，包括：

·     1.0

·     3.0

·     5.0

请根据日志接收设备的实际能力配置流日志的版本

开启日志负载分担

缺省情况下，每一条流日志会输出给所有已配置的流日志主机

开启此功能后，流日志按照日志信息的源IP地址进行逐流负载分担，即源IP地址相同的会话对应的流日志始终发送到特定的一台流日志主机。这样可以降低用户日志发送的压力，并减少冗余日志的处理

在开启此功能时请注意，如果配置的流日志主机不可达，流日志仍会进行负载分担，但负载分担到不可达的流日志主机的流日志将被丢弃

日志信息的源IP地址

缺省情况下，流日志信息的源IP地址为发送该报文的出接口IP地址

流日志使用源地址来唯一标识报文的发送者，以便对流日志进行过滤。配置日志信息的源IP地址后，当设备向流日志主机发送流日志时，就使用这个唯一IP地址作为报文的源IP地址

推荐将流日志报文的源IP地址配置为设备上Loopback接口的地址，以屏蔽某个物理接口状态改变对流日志报文的影响

 

4.     单击<应用>按钮，完成流日志的基本信息配置。

5.     单击<新建>按钮，配置流日志主机。

表-8 流日志主机配置

参数

说明

日志主机

支持IP地址和主机名

端口号

日志主机接收流日志信息的端口号

VRF

日志主机所属的VPN实例

 

6.     单击<确定>按钮，新建的流日志主机会在“流日志”页面显示。

快速日志

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“快速日志”页签。

3.     配置快速日志的基本信息。

表-9 快速日志的基本信息配置

参数

说明

日志信息时间戳

选择快速日志使用的时间戳，包括：

·     格林威治时间（GMT）：即UTC（Coordinated Universal Time,国际协调时间）

·     设备本地时间：格林威治时间加上时区偏移的时间

日志信息的源IP地址

缺省情况下，快速日志信息的源IP地址为发送该报文的出接口的主IP地址

快速日志使用源地址来唯一标识报文的发送者，以便对快速日志进行过滤。配置日志信息的源IP地址后，不管实际使用哪个物理接口发送日志信息，日志信息的源IP地址均为指定接口的主IP地址。当日志主机需要根据日志的源IP对日志进行过滤显示时，请配置此功能

推荐将快速日志报文的源IP地址配置为设备上Loopback接口的主IP地址，以屏蔽某个物理接口状态改变对快速日志报文的影响

 

4.     单击<应用>按钮，完成快速日志的基本信息配置。

5.     单击<新建>按钮，配置快速日志主机。

表-10 快速日志主机配置

参数

说明

日志主机

支持IP地址和主机名

端口号

日志主机接收快速日志信息的端口号

VRF

日志主机所属的VPN实例

会话日志

允许设备向指定的快速日志主机发送会话日志

NAT日志

允许设备向指定的快速日志主机发送NAT日志。NAT日志包括NAT会话日志和NAT444用户日志，其中每一种NAT日志均支持中国联通、中国电信和中国移动三种输出格式。

AFT日志

允许设备向指定的快速日志主机发送AFT日志，目前仅支持AFT端口块日志

应用审计日志

允许设备向指定的快速日志主机发送应用审计日志

URL过滤日志

允许设备向指定的快速日志主机发送URL过滤日志

攻击防范日志

允许设备向指定的快速日志主机发送攻击防范日志

负载均衡日志

允许设备向指定的快速日志主机发送负载均衡日志

IP信誉日志

允许设备向指定的快速日志主机发送IP信誉日志

共享上网日志

允许设备向指定的快速日志主机发送共享上网日志

安全策略日志

允许设备向指定的快速日志主机发送安全策略日志

心跳日志

允许设备向指定的快速日志主机发送心跳日志

入侵防御日志

允许设备向指定的快速日志主机发送入侵防御日志

带宽管理日志

允许设备向指定的快速日志主机发送带宽管理日志

防病毒日志

允许设备向指定的快速日志主机发送防病毒日志

Web应用防护日志

允许设备向指定的快速日志主机发送Web应用防护日志

 

6.     单击<确定>按钮，新建的快速日志主机会在“快速日志”页面显示。

邮件服务器

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“邮件服务器”页签。

3.     配置邮件服务器信息。

表-11 邮件服务器信息配置

参数

说明

邮件服务器地址

支持IP地址和主机名

发件人地址

配置发送邮件的人的地址

收件人地址

配置邮件接收人的地址。可以配多个收件人地址，之间用分号隔开

DNS服务器IP地址

配置DNS服务器的IP地址，用于DNS解析

身份验证

当邮件服务器需要登录用户进行身份验证时需要开启此功能

安全传输用户信息

配置此功能后，先在设备与邮件服务器之间创建一条安全通道，然后再在此通道中传输登录邮件服务器的用户信息

用户名

配置登录邮件服务器的用户名

密码

配置登录邮件服务器的密码

 

4.     单击<应用>按钮，完成邮件服务器信息配置。

存储空间设置

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“存储空间设置”页签。

3.     进入“存储空间设置”页面，具体配置内容如下：

表-12 存储空间设置参数表

参数

说明

业务

流量业务和DPI相关业务。其中，DPI相关业务包含如下几种：

·     审计业务

·     威胁业务（包括入侵防御业务和防病毒业务）

·     URL过滤业务

·     文件过滤业务

数据保存周期

各业务历史数据能够保存的最长时间

存储上限

各业务在存储空间中能够占用的最大空间

上限处理动作

当存储空间中某类业务的历史数据超过其数据保存周期，或者达到其存储上限时，设备对该类业务历史数据执行的处理动作

 

4.     单击<应用>按钮，进入“修改项”页面，确认修改内容。

5.     单击<应用>按钮，完成存储空间的配置。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们