问

H3C S12508-S 防火墙业务中，安全策略日志记录问题

3天前提问

粉丝：0人关注：0人

H3C S12508-S 防火墙上配置了安全策略。并勾选了对符合条件的报文记录日志信息，但在logfile文件里词条策略日志很少，请问是怎么回事

3 个回答

按时间按赞数

粉丝：10人关注：0人

这是最首要的一步。如果策略本身没有命中，自然不会产生日志。

1.
查看策略命中计数器：
display security-policy rule all | include [您的策略名|动作]
或者更精确地查看某条策略：
display security-policy rule name <您的策略名称>
- •
  关键点：查看规则中的 Match count字段。如果这个数字为0或者长时间不增长，说明几乎没有流量匹配到这条策略。
- •
  可能的原因：
  - •
    流量被前面的某条策略匹配并处理了（策略是按顺序匹配的）。
  - •
    流量根本没有流经这台防火墙（检查路由）。
  - •
    策略条件（源/目的IP、服务、时间等）配置错误，与实际流量不符。
2.
测试连通性并触发策略：
- •
  在确信策略配置正确后，可以手动从源IP向目的IP发送一个符合策略条件的测试包（例如 ping 或 telnet），同时观察计数器的变化。如果计数器增加，但依然没有日志，问题就集中在日志记录环节。

Info-Center是H3C设备日志系统的中枢，负责将各个模块产生的日志信息分发到不同的输出方向（如控制台、监视终端、Logbuffer、Logfile、日志主机等）。即使策略里勾选了“记录日志”，如果InfoCenter没有正确配置输出到logfile，日志也无法被写入文件。

即使日志已经正确发送到logfile通道，文件本身的设置也可能导致问题。

1.
查看日志文件设置：
display logfile summary
- •
  重点关注：
  - •
    Maximum size：单个日志文件的最大大小。如果太小，日志很快会被轮转覆盖。
  - •
    Maximum number：最大保存的日志文件数量。如果数量太少，老日志很快被删除。
  - •
    Storage：存储介质，通常是 flash或 cf。必须确保该存储介质有足够的空间（使用 dir命令查看）。
2.
调整日志文件配置（可选，如果认为当前设置不合理）：
# 设置日志文件大小为20MB info-center logfile size 20480 # 设置最多保存50个日志文件 info-center logfile max-file-number 50

1.
性能考虑与日志过滤：
- •
  在高速转发的设备上，记录所有匹配策略的日志会对性能造成巨大压力。因此，H3C设备可能有默认的日志抑制机制，例如每秒只记录若干条相同策略的日志，防止被日志洪水淹没。
- •
  检查是否配置了更精细的日志过滤功能，可能会过滤掉您关心的日志。
2.
会话日志（Session Log）与策略日志（Policy Log）：
- •
  请注意区分“会话日志”和“策略日志”。您配置的是策略命中时的日志。
- •
  会话的建立、删除日志是另一个维度的功能，需要在安全策略或域间策略中单独配置 session log相关的命令（例如 session log flow-begin）。您的问题不涉及这个，但需知两者区别。
3.
设备资源紧张：
- •
  在CPU/内存利用率极高的情况下，日志这种相对低优先级的任务可能会被丢弃。使用 display cpu和 display memory检查设备状态。

1.
首先：使用 display security-policy rule name <策略名>确认策略有命中计数（Match count > 0 且在增长）。
2.
其次：使用 display info-center和 display info-center source确认 SECPOLICY模块的日志已经输出到 logfile方向，且级别为 informational。
3.
然后：使用 display logfile summary确认日志文件大小和数量配置合理，且存储空间充足。
4.
最后：如果以上都正确，可以考虑临时将日志级别调整为 debugging进行测试，或者联系H3C技术支持，查询是否存在平台特定的日志抑制特性或已知问题。