华三 F1000-AK145+日志不刷新

把日志功能关闭了吧。。

Info-center enable

检查下

按你描述的现象，日志不刷新且只有流量日志保存到硬盘，这通常不是单一故障，而是多个问题叠加在一起了。我按可能性由高到低的顺序整理了几个排查步骤，你可以逐个验证，希望能帮到你。

1. 误用“快速日志输出”导致日志“消失”（可能性最高）

这个是排查优先级最高的原因。F1000-AK防火墙有个“快速日志输出”功能（也叫Fast Logging），不过很多人容易忽略：开启快速日志输出后，安全策略日志会绕过本地的常规日志缓冲区（logbuffer）和硬盘存储，直接“飞”到外部日志服务器，因而你在本地Web界面就看不到了。如果你流量日志还能正常显示和存储，那很可能就是之前配置日志服务器时，不小心把安全策略日志切到了快速通道。

另外，如果没配置外部日志主机，这些日志会被直接丢弃。所以，当在Web界面点开“快速日志输出”，看到有配置IP地址但实际又没有这台服务器，同时本地日志又不显示，那问题基本就找到根源了。

建议你通过以下步骤排查和解决：

2. Web界面显示的“瓶颈”——logbuffer容量限制

在没有开启快速日志输出功能的前提下，如果Web日志还是不更新，很可能是另一个问题。

H3C V7防火墙logbuffer容量默认只有1024条或10M大小。这在日志量大的时候很容易瞬间被新日志覆盖。同时，Web页面是定时（如每隔5分钟）去读取这个有限的缓冲区，这就会造成你观察到的现象：web页面总是没新日志，但其实日志在后台生成后很快又被顶掉了。

你可以通过以下步骤来验证和优化：

3. 验证安全策略的日志记录开关

这个是更基础的原因，但也容易被忽略。有些策略创建时为了减少性能损耗，会默认关闭日志记录。

4. 检查硬盘日志存储设置

即使logbuffer中的日志能短暂看到，但需要确认它们是否被配置为写入硬盘。这机制有些特殊：设备自带的硬盘或存储卡有专门设计的存储分区，默认行为就是用来存放流量日志；而安全策略日志默认并不写入硬盘。所以即使logbuffer中有日志，如果没有进行专门配置，在“硬盘”或“存储”页面也只能看到流量日志，没有安全策略日志。

日常运维大多只需要关注最近期的日志、偶尔回溯再设置硬盘存储即可。可以通过以下步骤验证和配置：

5. 严谨检查Web界面的文件上传功能

防火墙Web界面大多是HTTP服务，功能受限。Web界面显示的“安全策略日志”等页面，读取的是防火墙内存中的logbuffer。如果logbuffer满了，旧日志被覆盖，新日志即便生成了也显示不出来。

可以通过以下步骤排查：

6. 最终解决方案：部署外部日志服务器（根治方案）

如果以上方法都无法解决，或者你需要稳定、长期地保存所有日志用于安全分析和合规审计，那么部署外部日志服务器就是最终的解决方案。H3C官方的最佳实践也是引导将海量安全策略日志发送到外部服务器。

可以将所有防火墙日志发送到一台专门的Syslog服务器，有开源方案（如Graylog、ELK）或有商业方案（如H3C SecCenter）。基本步骤如下：

1. 部署日志服务器，确保和防火墙网络可达。

2. 在防火墙上配置日志主机指向：

   info-center enable

   info-center loghost <日志服务器IP>这将使防火墙将系统日志等送到日志服务器。

3. 如希望安全策略日志更精细、发送更快，可配置：

   customlog format packet-filter

   customlog host <日志服务器IP> export packet-filter

一、先确认 4 个基础前提（必做）

1. 硬盘状态正常
   • Web：系统→存储管理→硬盘，确认 hda0（内置硬盘）为 “正常 / 已挂载”，无坏道、未满（流量日志占 1 年，剩余空间≥20%）。
   • 命令：display disk partition 看 hda0 状态；dir hda0:/log/ 查日志目录是否存在。
2. 系统时间准确（关键）
   • 日志按时间戳写入，时间错乱会导致日志不生成 / 不刷新。
   • Web：系统→系统设置→时间，配置 NTP（如210.72.145.44），确保与当前时间一致，时区为 UTC+8。
3. 全局信息中心开启
   • 命令：system-view → info-center enable（默认开启，误关会导致所有日志不记录）。
   • 验证：display info-center 显示 “Information center: Enabled”。
4. 证书 / 授权有效
   • 安全策略日志（IPS/AV/ 应用控制）需威胁防护授权，过期会导致日志不生成。
   • Web：系统→授权管理，确认授权在有效期内。

二、Web 界面配置（核心，直接解决 “不刷新、不存硬盘”）

1. 开启本地日志存储（安全 / 配置 / 系统日志）

• 勾选：安全策略日志、配置日志、系统日志的 “本地存储”（默认仅流量日志开启）。
• 存储位置：选择hda0（内置硬盘），不要选内存（重启丢失）。
• 配额分配：给这三类日志各分配20%–30% 硬盘空间（流量日志已占 1 年，剩余空间合理分配）。
• 轮转策略：设置 “按天轮转、保留 30 天”，避免单文件过大卡住。

2. 日志过滤开启（允许生成日志）

• 安全策略日志：勾选 “允许本地记录”，级别设为 “信息（Informational）”（默认可能为 “告警”，导致普通策略日志不记录）。
• 配置日志 / 系统日志：同上，开启本地记录，级别设为 “信息”。
• 流量日志：保持现有配置（已正常存硬盘）。

3. 关闭 “仅日志主机” 模式

• 若配置了远程 Syslog 主机，不要勾选 “仅发送到日志主机”，否则本地硬盘不保存。
• 确认：本地存储优先，远程发送可选。

三、命令行快速补全配置（Web 不生效时用）

四、常见顽固问题解决

1. 硬盘满导致不写入
   • 现象：流量日志占 1 年，硬盘满，新日志无法写入。
   • 解决：删除旧流量日志（Web→系统→存储管理→硬盘→清理），或扩容硬盘；调整流量日志轮转为 “保留 90 天”，释放空间。
2. 日志缓冲区卡住（Web 不刷新）
   • 现象：命令行display logbuffer有日志，但 Web 界面不刷新。
   • 解决：reset logbuffer 清空内存缓冲区；重启 Web 服务（web-server restart），或重启设备。
3. 版本 bug 导致日志模块异常
   • 现象：配置全对，仍不记录。
   • 解决：升级到最新稳定版本（如 F1000-AK145 的 R8515 及以上），修复日志存储模块 bug。

五、验证步骤（配置后必做）

1. 生成测试日志：修改一条安全策略、执行一次配置命令、触发一次系统事件（如接口 up/down）。
2. Web 查看：系统→日志管理→安全策略日志 / 配置日志 / 系统日志，确认有新日志生成并实时刷新。
3. 硬盘验证：dir hda0:/log/ 查看有新日志文件（如logfile_20260509.log）。

六、总结

• 流量日志正常：说明硬盘、存储模块、时间基本正常。
• 安全 / 配置 / 系统日志异常：本地存储未开启、配额未分配、日志级别过高、仅远程发送是主因。
• 按上述步骤配置后，三类日志将实时刷新、保存到硬盘，与流量日志独立存储、互不影响。

问题补充：该防火墙web界面改变logbuffer容量（1024条和512条来回却换一下），web界面最新的安全策略日志、配置日志、系统日志就会刷新出来。其他：1、对时正确2、策略已开启日志开关，且有包匹配。