syslog推送到日志审计的问题

ping网络通吗

S5130 syslog 无法发送至日志审计完整排查（结合你现有配置）
一、先梳理你的现有配置信息
日志服务器：192.168.143.66，默认 UDP 514 端口，facility local7
核心两条配置：
plaintext
info-center loghost 192.168.143.66
info-center source default loghost level debugging

现象：交换机本地 log buffer 有日志、IP 互通，但审计服务器抓不到 UDP514 报文
设备：H3C S5130
二、按优先级分步排查（从最常见根因开始）
1. 最容易忽略：未全局开启 info-center loghost 功能 / 未开启日志输出开关
仅配置 loghost 地址不够，部分 V7 平台需要确认全局输出使能，先执行查看：
plaintext
display info-center

你的回显显示Log host: Enabled，开关是开的，这条排除。
2. 路由 / 二层转发问题（二层直连也要排查）
虽然直连互通，但存在两种丢包场景：
交换机本地 ACL / 包过滤拦截 UDP514 出站
交换机接口下配置了packet-filter、ACL，拒绝源端口随机、目的 514 的 UDP 报文。
排查命令：
plaintext
display packet-filter interface GigabitEthernet 0/0/X inbound
display packet-filter interface GigabitEthernet 0/0/X outbound

VLAN 隔离、PVID 错误、接口是 Access/Trunk 不匹配
交换机发送 syslog 的源 IP 是本设备 VLANIF 管理 IP，若管理 VLAN 与审计服务器不在同一广播域，二层直连也不通；
验证：交换机上ping 192.168.143.66通不代表设备本地产生的日志报文能转发，ping 是业务口转发，syslog 是 CPU 上送报文，受 ACL 控制。
测试：在交换机上tracert 192.168.143.66，确认下一跳、出接口正确。
3. 日志源模块过滤：default 模板不覆盖全部模块，或 debug 级别日志未产生
你配置source default loghost level debugging，但存在两个限制：
default 模板仅匹配未单独配置的模块，部分系统模块（ARP、STP、OSPF、安全模块）有独立 source 配置，会覆盖 default；
debugging 级别日志量极大，但设备无故障、无操作时不会产生 debug 日志，此时无报文发出；
验证修复方案
修改日志级别为informational（日常业务、告警、操作日志默认级别，一定会产生日志），全局匹配所有模块：
plaintext
system-view
undo info-center source default loghost
info-center source default loghost level informational
# 单独强制所有模块输出日志到loghost
info-center source ARP loghost level informational
info-center source STP loghost level informational
info-center source DEV loghost level informational

修改后手动输入save、display clock触发操作日志，再抓包测试。
4. 交换机 CPU 上送报文被防攻击策略丢弃（高频根因）
S5130 内置CPU 防攻击、上送限速，syslog 属于 CPU 始发报文，限速过严会直接丢弃：
查看 CPU 防攻击策略：
plaintext
display cpu-attack defense configuration

若开启了UDP 限速、目的端口 514 限流、上送报文带宽限制，会直接丢弃 syslog UDP 报文；
临时关闭测试：
plaintext
system-view
undo cpu-attack defense enable

关闭后观察审计是否收到日志，收到则说明防攻击策略拦截。
5. 日志服务器侧端口 / 协议不匹配
交换机默认 UDP 514，若审计服务器只监听 TCP514、或自定义端口（5140/5514），报文无法接收；
审计服务器防火墙、本地防火墙拦截 UDP514 入站；
交换机 facility 为 local7，审计端未配置接收 local7 类型日志，即使收到也不入库。
6. 缺少日志源接口指定（设备不知道用哪个 IP 发包）
H3C 交换机不指定loghost source-interface时，会随机选用可达 VLANIF IP 作为源 IP；
若审计服务器配置了仅信任指定源 IP，报文会被丢弃。
补充配置（必加）
plaintext
system-view
# 用管理VLAN三层接口作为syslog源IP
info-center loghost source Vlan-interface 10

指定固定源 IP，避免源 IP 浮动导致审计拦截。
7. 设备固件 BUG（V7 早期版本 syslog 发送异常）
老版本 S5130 V7 固件存在 CPU 日志报文不发出的缺陷，特征：本地 buffer 有日志，无 UDP 报文出站；
解决：升级交换机至官网最新稳定 Release 固件。
三、快速定位测试步骤（按顺序操作）
配置固定源接口，调整日志级别为 informational，触发操作日志：
plaintext
system-view
info-center loghost source Vlan-interface XX
undo info-center source default loghost
info-center source default loghost level informational
save
display clock

交换机直连接口关闭 CPU 防攻击，清空接口 ACL 包过滤；
在交换机出接口、审计服务器网卡同时抓 UDP514 报文：
交换机抓不到：交换机本地拦截（CPU 防攻击 / ACL / 配置过滤）
交换机能抓到、审计抓不到：中间二层拦截 / 审计服务器防火墙拦截
核对审计服务器监听协议（UDP/TCP）、端口、facility local7 接收配置。
四、完整标准 syslog 配置（修复后推荐完整配置）
plaintext
system-view
# 全局开启信息中心
info-center enable
# 指定日志服务器
info-center loghost 192.168.143.66
# 指定发送日志的源三层接口（管理VLANIF）
info-center loghost source Vlan-interface 10
# 所有模块输出信息级别日志到日志主机
info-center source default loghost level informational
# 本地缓存保留日志（原有保留）
info-center logbuffer size 1024

参考手册 1 配置设备发送日志到服务器

别去回复那些拿AI评论的人了，那样子还不如直接自己去问AI