登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

07-系统

目录

05-日志设置基本配置

本章节下载： 05-日志设置基本配置  (419.82 KB)

05-日志设置基本配置

日志设置基本配置

 

本帮助主要介绍以下内容：

·     特性简介

○          系统日志

○          流日志

○          快速日志

○          存储空间设置

○          日志等级

·     日志输出配置限制和指导

·     配置指南

○     系统日志

○     流日志

○     快速日志

○     存储空间设置

特性简介

日志信息是设备记录的对报文处理的相关信息。网络管理员利用这些信息即可以有效监控网络运行情况和诊断网络故障；也可以实时跟踪、记录、分析用户访问网络的情况，审计用户的上网行为。设备支持输出日志的方式包括：系统日志、流日志、快速日志。

系统日志

系统日志传输格式为ASCII码，其通过设备的信息中心进行统一收集、管理和输出。设备发送系统日志信息的方向包括：控制台（console）、监视终端（monitor）、日志缓冲区（logbuffer）、日志主机（loghost）和日志文件（logfile）。

流日志

流日志简介

设备根据报文的5元组（源IP地址、目的IP地址、源端口、目的端口、协议号）对用户访问网络的流进行分类统计，并生成流日志。流日志目前主要用来记录用户访问网络所产生的会话相关信息，包括5元组信息和发送、接收的字节数等。管理员利用这些信息可以实时跟踪、记录、分析用户访问网络的情况。

流日志版本

流日志根据日志信息所包含字段多少分为1.0、3.0和5.0三个版本。三种流日志的内容稍有不同，具体差别请参见表-1、表-2和表-3。

下表中介绍的字段是设备向日志主机方向发送的原始信息所包含的字段，可能与用户最终看到的信息格式有差异，最终显示格式与用户使用的日志解析工具有关，请以实际情况为准。

表-1 1.0版本流日志包含的字段

字段

描述

SrcIP

NAT转换前的源IP地址

DestIP

NAT转换前的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

StartTime

流起始时间，以秒为单位，从1970/1/1 0:0开始计算

EndTime

流结束时间，以秒为单位，从1970/1/1 0:0开始计算

当Operator字段取值为6时，该字段为0

Protocol

IP承载的协议类型

Operator

操作字，记录生成Flow日志的原因：

·     0：保留不用

·     1：正常流结束

·     2：定时器超时老化

·     3：清除配置/配置变动引起的流老化

·     4：资源不足带来的流老化

·     5：保留不用

·     6：活跃流定期记录其连接情况

·     7：新的流创建触发强制删除原有流

·     8：流创建

·     FE：其他

·     10~FE-1：以后扩充用

Reserved

保留

 

表-2 3.0版本流日志包含的字段

字段

描述

Protocol

IP承载的协议类型

Operator

操作字，记录生成Flow日志的原因：

·     0：保留不用

·     1：正常流结束

·     2：定时器超时老化

·     3：清除配置/配置变动引起的流老化

·     4：资源不足带来的流老化

·     5：保留不用

·     6：活跃流定期记录其连接情况

·     7：新的流创建触发强制删除原有流

·     8：流创建

·     FE：其他

·     10~FE-1：以后扩充用

IPVersion

IP报文版本

TosIPv4

IPv4报文的Tos字段

SourceIP

NAT转换前的源IP地址

SrcNatIP

NAT转换后的源IP地址

DestIP

NAT转换前的目的IP地址

DestNatIP

NAT转换后的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

SrcNatPort

NAT转换后的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

DestNatPort

NAT转换后的TCP/UDP目的端口号

StartTime

流起始时间，以秒为单位，从1970/01/01 00:00开始计算

EndTime

流结束时间，以秒为单位，从1970/01/01 00:00开始计算

当Operator字段取值为6时，该字段为0

InTotalPkg

接收的报文包数

InTotalByte

接收的报文字节数

OutTotalPkg

发出的报文包数

OutTotalByte

发出的报文字节数

InVPNID

入VPN ID

OutVPNID

出VPN ID

Reserved1

保留字段

AppID

应用协议ID

Reserved3

保留字段

 

表-3 5.0版本流日志包含的字段

字段

描述

Protocol

IP承载的协议类型

Operator

操作字，记录生成Flow日志的原因：

·     0：保留不用

·     1：正常流结束

·     2：定时器超时老化

·     3：清除配置/配置变动引起的流老化

·     4：资源不足带来的流老化

·     5：保留不用

·     6：活跃流定期记录其连接情况

·     7：新的流创建触发强制删除原有流

·     8：流创建

·     FE：其他

·     10~FE-1：以后扩充用

IPVersion

IP报文版本

TosIPv4

IPv4报文的Tos字段

SourceIP

NAT转换前的源IP地址

SrcNatIP

NAT转换后的源IP地址

DestIP

NAT转换前的目的IP地址

DestNatIP

NAT转换后的目的IP地址

SrcPort

NAT转换前的TCP/UDP源端口号

SrcNatPort

NAT转换后的TCP/UDP源端口号

DestPort

NAT转换前的TCP/UDP目的端口号

DestNatPort

NAT转换后的TCP/UDP目的端口号

StartTime

流起始时间，以秒为单位，从1970/01/01 00:00开始计算

EndTime

流结束时间，以秒为单位，从1970/01/01 00:00开始计算

当Operator字段取值为6时，该字段为0

InTotalPkg

接收的报文包数

InTotalByte

接收的报文字节数

OutTotalPkg

发出的报文包数

OutTotalByte

发出的报文字节数

InVPNID

入VPN ID

OutVPNID

出VPN ID

AppID

应用协议ID

UserName

用户名

Reserved1、2、3

保留字段

 

快速日志

快速日志输出功能用于快速地将用户关心的日志发往日志主机。配置该功能后，业务模块生成的日志通过快速输出通道直接发送给日志主机，不经过信息中心模块处理。相比通过信息中心输出，该方式可以节省系统资源，更快捷。

存储空间设置

存储空间用于保存各业务的日志数据。

通过设置存储空间，管理员可分别对各业务日志信息的数据保存周期、存储上限以及上限处理动作进行管理。

存储空间支持的存储设备类型包括：硬盘、U盘和内存。各业务的历史数据优先保存在硬盘中，当硬盘不在位时保存在U盘中，当U盘也不在位时才会保存在内存中。

当数据保存在内存中时，如果数据存储量达到系统运行的最大规格，系统将会进行滚动覆盖，即自动删除最旧的数据以保存新数据；当数据保存在硬盘或U盘中时，如果数据存储量达到用户配置的存储上限，系统将根据用户配置的上限处理动作对数据进行处理。其中，处理动作为删除时，设备将会进行滚动覆盖，即自动删除最旧的数据以保存新数据。

如果是全新的硬盘或U盘，则需要先进行分区和格式化处理。

其中，U盘的支持情况与设备型号有关，请以设备的实际情况为准。

拔出存储设备之前，请先单击<卸载>按钮，解除各业务日志进程对存储设备文件系统的占用。并需要在CLI界面的用户视图下执行umount命令，卸载文件系统，避免存储数据损坏甚至存储设备损坏。

存储空间设置的支持情况与设备型号有关，请以设备实际情况为准。

数据保存周期

存储空间中仅保存数据保存周期内的数据，当某类业务的数据保存时间超过设置的数据保存周期时，设备会根据上限处理动作对该业务的数据进行处理。

存储上限

设备为各业务占用的存储空间提供了设置上限功能。当某类业务所占的存储空间超过其设置的上限时，设备将根据上限处理动作对该业务的数据进行处理。管理员可根据实际业务情况，对各业务的存储上限进行设置。

上限处理动作

当存储空间中某类业务的历史数据超过数据保存周期，或者达到存储上限时，设备将根据该业务配置的上限处理动作对数据进行处理。

设备支持以下两种上限处理动作：

·     删除：设备将删除保存时间最长的数据以便保存最新的数据，并发送日志信息。删除日志信息时，设备将按天删除，且不可删除当天的日志信息。

·     提示：设备不对历史数据进行删除，也不保存新数据，仅发送日志信息提示用户。管理员可在“监控 > 设备日志 > 系统日志”页面中查看日志信息。

日志等级

日志信息按严重性可划分为如表-4所示的八个等级，各等级的严重性依照数值从0～7依次降低。在系统输出信息时，所有信息等级高于或等于配置等级的信息都会被输出。例如，输出规则中指定允许等级为6（informational）的信息输出，则等级0～6的信息均会被输出。

表-4 日志信息等级列表

数值

信息等级

描述

0

emergency

表示设备不可用的信息，如系统授权已到期

1

alert

表示设备出现重大故障，需要立刻做出反应的信息，如流量超出接口上限

2

critical

表示严重信息，如设备温度已经超过预警值，设备电源、风扇出现故障等

3

error

表示错误信息，如接口链路状态变化，存储卡拔出等

4

warning

表示警告信息，如接口连接断开，内存耗尽告警等

5

notification

表示正常出现但是重要的信息，如通过终端登录设备，设备重启等

6

informational

表示需要记录的通知信息，如通过命令行输入命令的记录信息，执行ping操作的日志信息等

7

debugging

表示调试过程产生的信息

 

日志输出配置限制和指导

·     设备支持通过系统日志、流日志和快速日志方式将某些业务模块的日志发送给日志主机，这些日志发送方式按优先级从高到低的顺序依次为：快速日志 > 流日志 > 系统日志。对于同一业务模块，如果用户配置了高优先级的输出方式，则不再采用其他方式输出。

·     快速日志支持的业务日志模块与设备型号有关，请以设备实际情况为准。

配置指南

系统日志

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“系统日志”页签。

3.     配置系统日志的基本信息。

表-5 系统日志的基本信息配置

参数

说明

将系统日志输出到日志缓冲区

配置此功能后，设备会将业务模块生成的日志保存到日志缓冲区。其中，设备会为一些业务模块（例如会话、攻击防御等）创建单独的日志缓冲区，用来分别存储这些业务模块的日志，其它业务模块的日志会统一存储到通用日志缓冲区中

日志缓冲区上限

日志缓冲区可存储的信息条数，当存储的日志达到容量限制时，系统会直接使用最新日志覆盖最早生成的日志，此处设置的为通用日志缓冲区的上限

 

4.     单击<应用>按钮，完成系统日志的基本信息配置。

5.     单击<新建>按钮，配置系统日志主机。

表-6 系统日志主机配置

参数

说明

日志主机

支持IP地址和主机名

端口号

日志主机接收系统日志信息的端口号

VRF

日志主机所属的VPN实例

 

6.     单击<确定>按钮，新建的系统日志主机会在“系统日志”页面显示。

流日志

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“流日志”页签。

3.     配置流日志的基本信息。

表-7 流日志的基本信息配置

参数

说明

日志版本

选择流日志的版本，包括：

·     1.0

·     3.0

·     5.0

请根据日志接收设备的实际能力配置流日志的版本

开启日志负载分担

缺省情况下，每一条流日志会输出给所有已配置的流日志主机

开启此功能后，流日志按照日志信息的源IP地址进行逐流负载分担，即源IP地址相同的会话对应的流日志始终发送到特定的一台流日志主机。这样可以降低用户日志发送的压力，并减少冗余日志的处理

在开启此功能时请注意，如果配置的流日志主机不可达，流日志仍会进行负载分担，但负载分担到不可达的流日志主机的流日志将被丢弃

日志信息的源IP地址

缺省情况下，流日志信息的源IP地址为发送该报文的出接口IP地址

流日志使用源地址来唯一标识报文的发送者，以便对流日志进行过滤。配置日志信息的源IP地址后，当设备向流日志主机发送流日志时，就使用这个唯一IP地址作为报文的源IP地址

推荐将流日志报文的源IP地址配置为设备上Loopback接口的地址，以屏蔽某个物理接口状态改变对流日志报文的影响

 

4.     单击<应用>按钮，完成流日志的基本信息配置。

5.     单击<新建>按钮，配置流日志主机。

表-8 流日志主机配置

参数

说明

日志主机

支持IP地址和主机名

端口号

日志主机接收流日志信息的端口号

VRF

日志主机所属的VPN实例

 

6.     单击<确定>按钮，新建的流日志主机会在“流日志”页面显示。

快速日志

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“快速日志”页签。

3.     配置快速日志的基本信息。

表-9 快速日志的基本信息配置

参数

说明

日志信息时间戳

选择快速日志使用的时间戳，包括：

·     格林威治时间（GMT）：即UTC（Coordinated Universal Time,国际协调时间）

·     设备本地时间：格林威治时间加上时区偏移的时间

日志信息的源IP地址

缺省情况下，快速日志信息的源IP地址为发送该报文的出接口的主IP地址

快速日志使用源地址来唯一标识报文的发送者，以便对快速日志进行过滤。配置日志信息的源IP地址后，不管实际使用哪个物理接口发送日志信息，日志信息的源IP地址均为指定接口的主IP地址。当日志主机需要根据日志的源IP对日志进行过滤显示时，请配置此功能

推荐将快速日志报文的源IP地址配置为设备上Loopback接口的主IP地址，以屏蔽某个物理接口状态改变对快速日志报文的影响

日志语言编码格式

选择快速日志使用的编码格式，包括：

·     默认格式：使用GB18030编码方式输出日志

·     UTF-8：使用UTF-8编码方式输出日志

 

4.     单击<应用>按钮，完成快速日志的基本信息配置。

5.     单击<新建>按钮，配置快速日志主机。

表-10 快速日志主机配置

参数

说明

日志主机

支持IP地址和主机名

端口号

日志主机接收快速日志信息的端口号

VRF

日志主机所属的VPN实例

会话日志

允许设备向指定的快速日志主机发送会话日志

NAT日志

允许设备向指定的快速日志主机发送NAT日志。NAT日志包括NAT会话日志和NAT444用户日志，其中每一种NAT日志均支持中国联通、中国电信和中国移动三种输出格式。

AFT日志

允许设备向指定的快速日志主机发送AFT日志，目前仅支持AFT端口块日志

应用审计日志

允许设备向指定的快速日志主机发送应用审计日志

URL过滤日志

允许设备向指定的快速日志主机发送URL过滤日志

攻击防范日志

允许设备向指定的快速日志主机发送攻击防范日志

信誉日志

允许设备向指定的快速日志主机发送IP信誉、URL信誉和域名信誉日志

共享上网日志

允许设备向指定的快速日志主机发送共享上网日志

安全策略配置日志

允许设备向指定的快速日志主机发送安全策略的配置内容日志

域间策略日志

允许设备向指定的快速日志主机发送包过滤、对象策略、安全策略的匹配日志

心跳日志

允许设备向指定的快速日志主机发送心跳日志

入侵防御日志

允许设备向指定的快速日志主机发送入侵防御日志

带宽管理日志

允许设备向指定的快速日志主机发送带宽管理日志

沙箱日志

允许设备向指定的快速日志主机发送沙箱日志

Web应用防护日志

允许设备向指定的快速日志主机发送Web应用防护日志

负载均衡日志

允许设备向指定的快速日志主机发送负载均衡日志。负载均衡日志包括入链路负载均衡日志和服务器负载均衡日志

终端识别日志      

允许设备向指定的快速日志主机发送终端识别日志

防病毒日志

允许设备向指定的快速日志主机发送防病毒日志

鉴权日志

允许设备向指定的快速日志主机发送外部鉴权日志

策略通知日志

允许设备向指定的快速日志主机发送策略通知日志

 

6.     单击<确定>按钮，新建的快速日志主机会在“快速日志”页面显示。

存储空间设置

配置步骤

1.     单击“系统 > 日志设置 > 基本配置”，进入“基本配置”页面。

2.     在“基本配置”页面，选择“存储空间设置”页签。

3.     进入“存储空间设置”页面，配置收集日志的业务。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们