M9008-S如何能单独导出威胁日志到指定的日志服务器？

可以的，参考：

一、原理（简单说）

• 威胁日志 = IPS 日志 + 防病毒日志
• 快速日志：独立通道，只发你勾选的日志类型，不经过系统日志中心H3C。
• 系统日志：会把所有日志（含系统、操作、威胁）一起发，无法单独只发威胁日志H3C。

二、Web 配置（推荐，最省事）

1. 配置快速日志主机（指定日志服务器）

1. 浏览器进防火墙 → 系统 → 日志设置 → 基本配置 → 快速日志。
   
2. 点新建：
   • 日志主机：填你的日志服务器 IP（如 192.168.1.100）
   • 端口：514（默认，UDP）
   • VRF：默认（公网）
   • 日志类型：只勾选 入侵防御日志、防病毒日志（关键！只发威胁日志）。
     
3. 点确定 → 应用。

2. 开启威胁日志的快速输出

1. 进入 系统 → 日志设置 → 威胁日志。
   
2. 勾选：
   • 入侵防御日志：输出快速日志
   • 防病毒日志：输出快速日志。
3. 编码：默认 GBK（日志服务器也要设 GBK）。
4. 应用。

3. 放行策略（必须！否则没日志）

• 进入 策略 → 安全策略，在所有需要防护的策略里，开启：
  • IPS 日志
  • 防病毒日志
• 动作选 “记录日志”。

三、命令行配置（可直接复制）

四、验证是否生效

1. 看配置：

2. 看日志发送：

3. 日志服务器上用 tcpdump 抓 514 端口 UDP 包，能看到威胁日志即可。

五、常见坑

• ❌ 用系统日志（info-center）：会把所有日志都发，无法单独只发威胁日志H3C。
• ❌ 没在安全策略里开 IPS / 防病毒日志：没日志可发。
• ❌ 端口 / 协议不对：快速日志默认 UDP 514，日志服务器要监听 UDP 514。