防火墙 日志

是的

对的

是的，你的理解完全正确。

在H3C防火墙（如F1000系列）上通过 info-center loghost 命令配置的日志主机，默认发送的就是系统类Syslog，不包含流量日志。

 默认发送的系统日志

H3C官方明确指出，通过 info-center 默认上送的日志包含以下类型：

• 系统运行告警：设备运行状态变化的通知。

• 配置变更：所有管理员执行的配置修改操作。

• 攻击检测：被防火墙检测到的网络攻击事件。

• 普通会话事件：会话建立、拆除等基础信息。

• 其他系统日志：如设备启动、关机、接口状态变化等。

 如何配置流量日志

如果需要将NAT日志、DPI（深度包检测）流量日志等流量审计类日志发送到日志服务器，需要单独配置：

1. 开启全局功能：根据需求开启 flow-log enable、nat log enable 等。

2. 指定服务器：配置 flow-log host <服务器IP> udp-port <端口>。

3. 策略开启日志：在安全策略中，为需要审计的流量匹配项开启日志记录。

一、结论（一句话）

• info-center loghost（Syslog）默认只发：系统日志、配置日志、告警、故障、上下线等系统级日志。
• 默认 不包含 会话流量日志（流日志 / Flow 日志）。
• 流量日志（NAT / 会话 / 访问记录）是独立模块，必须单独开启、单独配置输出。

二、两种日志区别（H3C 防火墙）

1. info-center Syslog（你现在配的）

• 来源：系统模块（SYSTEM、FIT、VRRP、OSPF、LOGIN 等）
• 内容：
  • 登录 / 登出、配置变更、接口 up/down
  • 系统告警、CPU / 内存、故障、认证失败
  • 域间策略匹配告警（但不是每条会话明细）
• 默认级别：informational 及以上
• 端口：UDP 514（标准 Syslog）

2. 流量日志（Flow / 会话日志）

• 来源：安全策略、会话表、NAT、ASPF
• 内容：
  • 每条五元组会话（源 IP、目的 IP、端口、协议）
  • 会话开始 / 结束、NAT 转换记录、策略命中
  • 流量大小、时长、应用识别
• 默认：完全关闭
• 输出方式：
  • 独立 Flow 日志主机（端口 9002 或自定义）
  • 或通过 userlog flow syslog 并入 Syslog（不推荐大量会话）H3C

三、怎么开启 “流量日志” 并输出（完整配置）

1. 全局开启流量日志（必须）

• 缺省：全关

2. 安全策略下开启（精细化）

3. 输出到独立 Flow 日志主机（推荐）

4. （可选）把流量日志并入 Syslog（info-center）

四、验证命令

五、总结

• 只配 info-center loghost：只有系统日志，看不到上网 / 会话明细。
• 要流量记录：必须额外配 traffic-log + userlog flow export（独立端口 9002）。