防火墙告警整改问题咨询

这份【2022】036号技术公告明确指出：

• 问题：当大量安全模块日志（安全策略日志、流日志、威胁日志等）上送设备信息中心时，可能导致控制核繁忙，出现无法登录、转发异常、设备挂死、设备重启等故障。

• 原因：日志量过大，信息中心处理不过来。

• 整改要求：

  1. 开启安全模块日志时，必须同步配置快速日志（customlog）将对应模块日志发送至日志主机；

  2. 严禁配置Flow日志输出到信息中心。

你的F1070（Version 7.1.064, Release 9360P46）正好在涉及范围内。

 技术逻辑：为什么要配日志主机？

要回答“没有日志主机怎么整改”，先要理解“为什么公告要求配日志主机”。

• 信息中心（info-center）：设备默认的日志处理中心，所有日志默认都会送到这里。日志量大时会消耗系统资源。

• 快速日志（customlog）：H3C V7防火墙提供的一种绕过信息中心的日志输出机制。配置后，业务模块日志直接发送给日志主机，不经过信息中心处理，从而节省系统资源。

公告的核心要求是“让日志绕过信息中心”，而不是“必须发送到日志主机”。日志主机只是日志的最终去向，但“绕过信息中心”这一步，必须通过配置customlog来实现。

 没有日志主机的整改方案

方案一：如果完全没有日志主机（只能合规性整改）

这种情况下，你需要做到两点：

1. 删除违规配置：检查并删除 userlog flow syslog 配置（严禁Flow日志输出到信息中心）。

2. 开启快速日志，但不指定主机：开启customlog功能，但不配置 customlog host。这样做的效果是：

   •  日志不再经过信息中心（满足整改要求）

   •  日志被“丢弃”，不占用设备资源

   •  无法在日志服务器上查看日志（因为你没有主机）

配置示例：

方案二：有临时日志服务器可用（推荐）

如果能临时搭建一台日志服务器（哪怕是一台Windows装个syslog工具，或者Linux开个rsyslog），那就更规范了，可以真正满足公告原意。

配置步骤（以发送会话日志为例）：

 特别提醒：Flow日志严禁配置

公告明确要求“严禁配置Flow日志输出到信息中心”。请务必检查：

没有日志主机，就关闭相关功能吧 

就是高端设备不弄用mgmt口配置syslog日志推送的，要用业务口配置快速日志推送

如果没有使用该功能，应该不影响的；如果使用了，就参考公告建议整改。

将日志类型改为快速日志就行，刷入以下命令

sys
customlog format packet-filte
customlog format dpi
customlog format aft
customlog format attack-defense
sa f