问
WS5800交换机配置syslog后，日志服务器收不到交换机发送的日志
2天前提问
- 0关注
- 0收藏，74浏览
H3C 交换机配置日志后，服务器 514 端口（syslog 默认端口）未收到日志，且网络连通性已确认，核心问题通常出在日志服务器配置不完整、日志级别与源模块匹配错误、或设备日志输出方向未正确指向服务器。以下是分步排查和解决方法：
一、检查日志服务器基础配置（必做）
确保交换机已正确指定日志服务器 IP 和端口，且启用 syslog 输出：
<交换机> system-view
# 1. 配置日志服务器IP和端口（默认UDP 514，需显式指定）
[交换机] info-center loghost 192.168.8.254 facility local7 # facility可选local0-local7，服务器需对应
# 2. 确认日志输出到loghost（默认可能未启用）
[交换机] info-center enable # 全局启用信息中心（关键，默认可能关闭）
[交换机] info-center loghost enable # 启用向日志服务器发送日志
- 验证配置：
display info-center configuration，确认 “Loghost” 条目存在，IP 为 192.168.8.254，端口 514。
二、修正日志级别与源模块配置（核心）
info-center source default loghost level 命令中的 “default” 可能未覆盖登录事件（如用户登录）和接口事件（网口插拔）的源模块，需针对具体模块单独配置：1. 针对 “登录事件”（用户认证、登录操作）
登录事件通常由
SECURITY（安全模块）或AAA模块产生，需单独开启：# 允许安全模块（登录、认证）的日志发送到服务器，级别设为informational（包含登录事件）
[交换机] info-center source SECURITY loghost level informational
# 若涉及AAA认证登录，补充配置AAA模块
[交换机] info-center source AAA loghost level informational
2. 针对 “网口插拔事件”（接口状态变化）
接口事件由
IFNET（接口模块）产生，需单独配置：# 允许接口模块的日志发送到服务器，级别设为notifications（包含up/down事件）
[交换机] info-center source IFNET loghost level notifications
3. 简化配置：对所有模块开放必要级别
若需快速验证，可对所有模块开放
debugging级别（包含所有日志，测试用，生产环境需收紧）：[交换机] info-center source all loghost level debugging
三、检查日志输出格式与服务器兼容性
部分服务器对 syslog 格式敏感，需确保交换机输出格式正确：
# 配置日志格式为标准syslog（默认可能为设备自定义格式）
[交换机] info-center loghost format syslog
四、实时验证与抓包确认
- 在交换机上触发日志事件：
- 手动插拔测试网口（如 G1/0/1），触发接口 up/down 事件。
- 通过 Telnet/SSH 重新登录交换机，触发登录事件。
- 在服务器端抓包验证：执行
tcpdump -i <网卡名> udp port 514，查看是否有来自 192.168.8.233 的 UDP 514 报文：- 若有报文但服务器未记录：检查服务器 syslog 服务配置（如 rsyslog 的
/etc/rsyslog.conf是否监听 514 端口，且允许 local7（或配置的 facility）日志写入）。 - 仍无报文：回到交换机，执行
display info-center statistics查看 “Loghost” 的发送计数是否增长，若增长为 0，说明交换机未生成日志，需检查模块是否正确；若增长但服务器未收到，需排查网络（尽管已排除，但建议再次确认交换机与服务器之间是否有 ACL 拦截 UDP 514）。
- 若有报文但服务器未记录：检查服务器 syslog 服务配置（如 rsyslog 的
五、补充注意事项
- 级别定义：syslog 级别从高到低为：emergency、alert、critical、error、warning、notifications、informational、debugging。登录事件和接口事件通常在
notifications或informational级别，设置过低（如 warning 及以上）会过滤这些事件。 - 模块名称：不同型号交换机的模块名称可能不同（如接口模块可能为
INTERFACE而非IFNET），可通过info-center source ?查看支持的模块列表，选择与接口、安全相关的模块。
总结
核心步骤：确认日志服务器配置并启用→针对登录（SECURITY/AAA）和接口（IFNET）模块单独开放合适级别→验证服务器是否收到报文。通过精准匹配模块和级别，可解决日志未发送的问题。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论