问
M9008-S如何能单独导出威胁日志到指定的日志服务器？
2026-04-24提问
- 0关注
- 0收藏，156浏览
问题描述：
M9008-S防火墙如何能单独导出威胁日志到指定的日志服务器？
- 2026-04-24提问
- 举报
-
(0)
最佳答案
zhiliao_Gixe
五段
配置步骤及关键命令：
1. 进入系统视图，配置日志服务器基础信息
system-view
logging host <日志服务器IP> facility local0 [port <端口>] [protocol {udp|tcp}]
示例：logging host 192.168.1.100 facility local0 port 514 protocol udp
2. 创建威胁日志专属过滤器
logging filter threat-log
rule 10 permit category threat #仅匹配威胁日志类别
quit
3. 将过滤器绑定到目标日志服务器
logging host <日志服务器IP> filter threat-log
4. 配置威胁日志发送级别（确保覆盖威胁日志级别）
logging severity informational #威胁日志通常为informational及以上级别
5. 开启日志发送功能
logging enable
重要提醒：
操作前执行save备份当前配置，配置完成后可在日志服务器侧验证是否仅接收威胁日志。
1. 进入系统视图，配置日志服务器基础信息
system-view
logging host <日志服务器IP> facility local0 [port <端口>] [protocol {udp|tcp}]
示例：logging host 192.168.1.100 facility local0 port 514 protocol udp
2. 创建威胁日志专属过滤器
logging filter threat-log
rule 10 permit category threat #仅匹配威胁日志类别
quit
3. 将过滤器绑定到目标日志服务器
logging host <日志服务器IP> filter threat-log
4. 配置威胁日志发送级别（确保覆盖威胁日志级别）
logging severity informational #威胁日志通常为informational及以上级别
5. 开启日志发送功能
logging enable
重要提醒：
操作前执行save备份当前配置，配置完成后可在日志服务器侧验证是否仅接收威胁日志。
- 2026-04-24回答
- 评论(0)
- 举报
-
(0)
M9008‑S 要把威胁日志（IPS / 防病毒）单独发到指定日志服务器，用 ** 快速日志（customlog）** 最稳，不影响系统日志，可单独控制。下面给你 Web + 命令行两种完整配置。
一、原理（简单说）
- 威胁日志 = IPS 日志 + 防病毒日志
- 快速日志：独立通道，只发你勾选的日志类型，不经过系统日志中心H3C。
- 系统日志：会把所有日志（含系统、操作、威胁）一起发，无法单独只发威胁日志H3C。
二、Web 配置（推荐，最省事）
1. 配置快速日志主机（指定日志服务器）
- 浏览器进防火墙 → 系统 → 日志设置 → 基本配置 → 快速日志。
- 点新建：
- 日志主机：填你的日志服务器 IP（如 192.168.1.100）
- 端口：514（默认，UDP）
- VRF：默认（公网）
- 日志类型：只勾选 入侵防御日志、防病毒日志（关键！只发威胁日志）。
- 点确定 → 应用。
2. 开启威胁日志的快速输出
- 进入 系统 → 日志设置 → 威胁日志。
- 勾选：
- 入侵防御日志：输出快速日志
- 防病毒日志：输出快速日志。
- 编码：默认 GBK（日志服务器也要设 GBK）。
- 应用。
3. 放行策略（必须！否则没日志）
- 进入 策略 → 安全策略，在所有需要防护的策略里，开启：
- IPS 日志
- 防病毒日志
- 动作选 “记录日志”。
三、命令行配置（可直接复制）
bash
运行
# 1. 开启快速日志
system-view
customlog enable
# 2. 配置日志服务器（只发威胁日志）
customlog host 192.168.1.100 port 514 export ips anti-virus
# 3. 威胁日志走快速通道
attack-defense log enable
anti-virus log enable
customlog format attack-defense
customlog format dpi anti-virus
# 4. 保存
save
四、验证是否生效
- 看配置：
bash
运行
display current-configuration | include customlog
- 看日志发送：
bash
运行
display customlog statistics
- 日志服务器上用
tcpdump抓 514 端口 UDP 包，能看到威胁日志即可。
五、常见坑
- ❌ 用系统日志（info-center）：会把所有日志都发，无法单独只发威胁日志H3C。
- ❌ 没在安全策略里开 IPS / 防病毒日志：没日志可发。
- ❌ 端口 / 协议不对：快速日志默认 UDP 514，日志服务器要监听 UDP 514。
- 2026-04-24回答
- 评论(0)
- 举报
-
(0)
暂无评论
可以通过信息中心的日志输出过滤器或快速日志输出功能，将威胁日志单独发送到指定的日志服务器。前者是在通用日志通道中做筛选；后者则是一条专用通道，性能更好。
1️⃣ 方法一：信息中心 + 日志过滤器
这种方案通过配置过滤器，从所有日志中筛选出威胁日志，再发送到日志服务器。
【1】指定日志服务器并开启信息中心
<H3C> system-view
创建并配置过滤器
通过高级ACL精确匹配威胁日志类别，示例仅匹配threat类别：[H3C-acl-ipv4-adv-3999] rule 10 permit logging threat [H3C-acl-ipv4-adv-3999] quit [H3C] info-center filter 1 acl 3999如果不想用ACL，也可以使用[H3C] acl advanced 3999info-center filter 1 rule 10 permit category threat直接匹配。绑定过滤器到日志主机
[H3C] info-center loghost source filter 1 # 应用过滤器1
【3】配置日志发送级别
[H3C] info-center source default channel loghost log level informational # 确保级别匹配
2️⃣ 方法二：快速日志输出
更高效的方案，但配置前最好确认设备版本是否支持。
1. 创建快速日志输出组
<H3C> system-view
[H3C] customlog dpi threat # 将威胁日志绑定到上述输出组
3. 开启日志发送
[H3C] log enable # 开启全局日志发送
📊 两种方法对比
| 方法 | 核心命令 | 优点 | 缺点 |
|---|---|---|---|
| 信息中心 + 日志过滤器 | logging host + info-center filter | 通用性强，各版本基本都支持 | 配置相对复杂，可能影响系统性能 |
| 快速日志输出 | customlog | 性能好，配置简洁 | 需确认设备版本是否支持 |
⚠️ 误区排查
检查安全策略：确保威胁对应的安全策略已开启日志记录。在Web界面进入 策略配置 -> 安全策略，编辑对应策略，勾选 记录日志 的入向和出向。
启用流量日志：部分版本还需要在 系统 > 日志 > 流量日志 中启用“发送日志到日志主机”。
检查日志主机配置：在Web界面进入 系统 > 日志 > 日志主机，确保日志服务器已在列表中，并能通过Nslookup等工具从防火墙解析。
检查日志服务器侧：确保服务器的Syslog服务正在运行，端口（默认为514/UDP）未被防火墙拦截，且有足够磁盘空间。
✅ 配置验证
命令行检查：执行
display logging host查看日志主机配置，执行display info-center查看各类日志统计。Web界面检查：在 监控 -> 安全策略日志 中筛选威胁日志，或在 系统 -> 日志 -> 日志主机 处使用“测试”功能。
- 2026-04-27回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论