F5000防火墙如何获取全部会话日志

完整导出本地 3 个月会话日志（本地未覆盖时）

前提准备：

• 搭建临时 TFTP/FTP 服务器（如用 3CDaemon、FileZilla Server），确保防火墙能访问该服务器（IP：192.168.1.200，示例）。
• 确认防火墙本地日志已包含 3 个月数据（通过第一步核查确认）。

导出命令（命令行执行，分华为 / 华三）：

华三 F5000 系列

导出后验证：

四、常见问题排查（导出不完整 / Syslog 接收不到）

1. 导出仅几百条：
   • 未指定start-time/end-time：默认仅导出最近几百条缓存日志，必须明确时间范围。
   • 本地日志已覆盖：按第一步核查，若日志文件仅包含最近几天，说明无法导出 3 个月数据。
2. Syslog 服务器接收不到：
   • 网络不通：防火墙 ping 192.168.1.100，若不通需检查路由 / ACL（放行防火墙到服务器的 UDP/TCP 514 端口）。
   • 日志级别错误：会话日志默认级别为info，若设为warning会过滤，需重新执行info-center source session level info。
   • 服务器端口未监听：在审计服务器执行netstat -an | findstr 514（Windows）或netstat -an | grep 514（Linux），确认端口已开放。
3. 导出文件过大导致失败：
   • 拆分时间导出：按月份拆分（8 月、9 月、10 月各导出 1 个文件），避免单文件过大超时。

H3C SecPath F5000系列防火墙的会话日志在Web界面和命令行下导出时存在单次显示和导出条目限制（通常为几百条），无法直接一次性导出数万条历史日志。设备本地存储的会话日志容量有限，不支持保存长达3个月的大量会话日志。

为实现完整获取3个月的会话日志，建议配置快速日志输出功能，通过`customlog format session`命令开启会话日志的格式化输出，并结合`info-center loghost`命令将日志实时通过Syslog方式发送至外部日志审计服务器：

1. 开启会话日志快速输出：
```
[Sysname] customlog format session
```

2. 配置日志主机（Syslog服务器）：
```
[Sysname] info-center loghost <日志服务器IP>
```

3. （可选）设置日志源接口和设施级别：
```
[Sysname] info-center source LOGHOST default level informational
```

**注意**：该配置仅对**后续生成**的会话日志生效，无法补发已丢失的历史日志。因此，必须提前部署Syslog方案以实现长期日志留存和完整审计。

综上，F5000防火墙**不支持完整导出长期积累的大量历史会话日志**，建议立即配置Syslog实时发送会话日志至日志服务器，以满足后续长期日志审计需求。