10508X-V的syslog日志如何只发送操作命令的日志

按照等级发送 

info-center filter ?
STRING<1-8> Filter name



info-center filter 1 SHELL level ?
alert Action must be taken immediately (severity=1)
critical Critical conditions (severity=2)
debugging Debug-level messages (severity=7)
emergency System is unusable (severity=0)
error Error conditions (severity=3)
informational Informational messages (severity=6)
notification Normal but significant conditions (severity=5)
warning Warning conditions (severity=4)

要实现只发送用户执行命令的日志（SHELL/6/SHELL_CMD），而过滤掉执行结果日志（SHELL/6/SHELL_CMD_EXECUTESUCCESS），核心方法是利用 H3C Comware V7 系统的日志抑制功能。

这里有几种配置思路，你可以根据需求选择。

方案一：精准抑制（推荐）

这个方法最直接，通过命令精确地禁止 SHELL_CMD_EXECUTESUCCESS 这条日志发送到日志服务器（loghost），而其他所有日志不受影响。

1. 进入系统视图

   bash

   <H3C> system-view

2. 配置日志抑制规则

   bash

   [H3C] info-center logging suppress module SHELL mnemonic SHELL_CMD_EXECUTESUCCESS

   • module SHELL：指定要操作的日志模块为 SHELL。

   • mnemonic SHELL_CMD_EXECUTESUCCESS：指定要抑制的日志助记符（Mnemonic）为 SHELL_CMD_EXECUTESUCCESS。

配置后，日志服务器将只收到 SHELL/6/SHELL_CMD 日志，不会再收到 SHELL_CMD_EXECUTESUCCESS 日志。

方案二：白名单放行（更严格的过滤）

如果你希望日志服务器只接收 SHELL_CMD 日志，而拒绝该模块的所有其他日志，可以使用 info-center source 命令进行更严格的控制。

1. 首先，关闭 SHELL 模块向 loghost 发送的所有日志

   bash

   [H3C] info-center source SHELL loghost deny

   这一步会禁止 SHELL 模块的所有日志发送到日志服务器。

2. 然后，单独允许 SHELL_CMD 这条日志通过
   需要注意的是，info-center source 命令基于级别（level） 进行控制，无法精确到具体的助记符。SHELL_CMD 和 SHELL_CMD_EXECUTESUCCESS 的级别都是 6（Informational），因此无法通过此命令将二者区分开。

   结论：如果只用 info-center source，无法实现只放行 SHELL_CMD 而过滤 SHELL_CMD_EXECUTESUCCESS 的目标。因此，方案一（日志抑制）是完成此需求更合适的方法。

方案三：调整日志级别（不推荐）

你可能会看到通过设置日志级别来过滤的方案。例如，只发送级别高于 6 的日志。但请注意：

• 此方法无效：因为你提到的这两条日志的级别都是 6（Informational）。通过级别过滤无法将它们分开，要么都发，要么都不发。

H3C S10508X-V 仅推送 SHELL_CMD 操作命令日志、屏蔽其他所有 syslog 完整配置
需求说明：
只发送 %%10SHELL/6/SHELL_CMD（用户输入命令原始记录）
过滤掉 SHELL_CMD_EXECUTESUCCESS、硬件告警、端口日志、路由、安全、系统内核等全部其他日志
Comware V7 采用信息中心过滤 + 源模块过滤 + 输出通道绑定三层控制实现精准推送
完整配置命令（直接复制 Console 执行）
plaintext
system-view
# 1. 关闭设备本地缓存以外默认输出，清空原有信息源输出配置
undo info-center source default logbuffer
undo info-center source default console
undo info-center source default monitor
undo info-center source default loghost

# 2. 创建专用信息过滤策略，只放行SHELL模块、SHELL_CMD子类型
info-center filter policy ONLY_SHELL_CMD
# 放行SHELL模块，仅匹配SHELL/6/SHELL_CMD，拒绝SHELL其他子日志
module SHELL include subtype SHELL_CMD
module SHELL exclude
# 全局拒绝所有其他模块日志
module all exclude
quit

# 3. 配置syslog服务器（替换为你的日志服务器IP）
info-center loghost source Vlan-interface 1
info-center loghost 131.100.17.253

# 4. 将过滤策略绑定到日志主机输出通道
info-center source all loghost filter-policy ONLY_SHELL_CMD

# 5. 开启命令行操作日志功能（确保SHELL_CMD日志正常生成）
info-center source SHELL loghost level informational
shell log enable

# 可选：关闭冗余执行成功日志的生成（治本，不再产生SHELL_CMD_EXECUTESUCCESS）
undo shell log execute-record enable

# 6. 校验配置后保存
save force
关键配置解释
shell log enable
开启用户输入命令记录，产生目标日志 SHELL_CMD。
undo shell log execute-record enable
核心过滤治本方案：直接关闭 “命令执行成功” 日志，不再生成 SHELL_CMD_EXECUTESUCCESS，无需额外过滤。
info-center filter policy 过滤逻辑
module SHELL include subtype SHELL_CMD：仅允许登录用户输入命令的原始日志
module SHELL exclude：屏蔽 SHELL 模块下其余所有子日志（执行结果、会话登录登出等）
module all exclude：交换机硬件、端口、STP、路由、ACL、电源风扇、IRF 等全部模块日志禁止发送到 syslog 服务器
验证排查命令
plaintext
# 查看信息过滤策略
display info-center filter policy ONLY_SHELL_CMD

# 查看日志主机输出绑定的过滤策略
display info-center loghost

# 查看SHELL日志开关状态
display shell log

# 实时调试查看本地匹配的日志（测试用）
terminal monitor
terminal debugging
补充说明
若现场需要保留 console/monitor 调试日志，仅远程 syslog 过滤，上述配置不受影响，仅 loghost 通道会被策略限制；
若无法关闭 shell log execute-record（老版本固件不支持该命令），可在过滤策略增加一条屏蔽：
plaintext
info-center filter policy ONLY_SHELL_CMD
module SHELL exclude subtype SHELL_CMD_EXECUTESUCCESS
日志等级统一使用 informational，匹配 %%10SHELL/6/SHELL_CMD 信息级别，不会丢失命令记录。