H3c secpath f1000cg2防火墙syslog 接口日志说明文档

参考： 

H3C 安全产品 日志信息参考(V7)(R9X60 R8X60 R1X60 E8X60 E1185)-6W605

针对H3C SecPath F1000-C-G2防火墙的Syslog接口日志，官方有专门的系列文档进行说明。

📚 核心官方文档索引

• 配置指导（Configuration Guide）：这是最核心的文档，详细介绍了信息中心（Information Center） 的原理和配置方法。F1000-C-G2属于F1000-X-G2系列，适用的配置指导为 《H3C SecPath F1000[F1000] Firewalls Series Configuration Guides(V7)》。其中，与Syslog相关的章节是 “Network Management and Monitoring Configuration Guide” 下的 “Information center configuration”。

• 系统日志消息参考（System Log Messages Reference）：这份文档是解读日志的“字典”，列出了所有模块可能产生的日志消息、含义、严重级别和推荐处理动作。可参考 《H3C Security Products System Log Messages Reference(V7)》。

请注意：上述文档是基于Comware V7平台的。你的F1000-C-G2设备很可能运行此系统。如果设备是更老的Comware V5平台，文档名称和内容会有所不同，但核心概念（信息中心、Syslog）是类似的。

🧠 Syslog与接口日志基本概念

• 信息中心（Information Center）是日志处理中枢：设备上所有模块（包括接口）产生的日志，都会发送给信息中心。然后，信息中心会根据你设定的规则，将这些日志输出到不同目的地，如控制台、日志缓冲区（Log Buffer）、日志主机（Log Host，即Syslog服务器）、日志文件等。

• 接口日志属于标准系统日志：在H3C的日志分类中，接口的Up/Down、配置变更等常规信息，都属于 “标准系统日志（Standard system logs）” 。

• 日志按严重性划分等级：所有日志都有8个优先级（0-7）。你可以设置阈值，让信息中心只输出严重性高于某个级别的日志。对于接口状态变化这类日常信息，通常级别较低（如6级-Informational或5级-Notification）。

⚙️ 如何配置Syslog输出接口日志

要将接口日志发送到你的Syslog服务器，需要完成以下关键配置：

1. 启用信息中心：

   text

   <H3C> system-view [H3C] info-center enable

   这是所有日志功能的基础。

2. 配置Syslog服务器地址：

   text

   [H3C] info-center loghost X.X.X.X

   将 X.X.X.X 替换为你的Syslog服务器IP地址。可以配置最多4个Syslog服务器地址。

3. （可选）配置输出规则：
   默认情况下，所有模块（包括接口）的日志，只要级别高于Informational（6级），都会发送到日志主机。如果你需要调整，可以使用 info-center source 命令进行精细控制。

SecPath F1000-CG2（Comware V7）接口 Syslog 完整说明文档
F1000-CG2 采用 Comware V7 平台，接口上下线、物理层、协议层变更日志统一归属 IFNET 模块，也是接口监控、链路故障排查最核心 Syslog。
一、Syslog 整体通用格式（发往日志采集器标准格式）
plaintext
<%优先级> %年-月-日 时:分:秒.毫秒 防火墙主机名 IFNET/日志级别/事件名称: 日志正文
字段拆解
<% 优先级>：Syslog 标准 PRI，由「设施 + 日志级别」合成，IFNET 默认设施 local7；
时间戳：精确到毫秒，防火墙本地系统时间；
主机名：防火墙sysname名称，用于区分多台防火墙日志；
IFNET：固定模块名，所有接口链路日志均为此模块；
日志级别：数字 0~7，对应严重程度；
事件名称：PHY_UPDOWN / LINK_UPDOWN / LAGG_XXX 等事件助记符；
日志正文：接口名称、状态变更结果。
二、日志等级对照表（IFNET 接口日志通用）
表格
级别 数值 名称 含义
0 Emergency 紧急 系统不可用，极少出现
1 Alert 告警 必须立刻处理
2 Critical 严重 硬件 / 接口致命故障
3 Error 错误 物理接口断连 PHY_DOWN
4 Warning 警告 链路波动、聚合成员下线
5 Notification 通知 常规接口 UP/DOWN（最常见）
6 Informational 信息 普通正常上线事件
7 Debug 调试 调试日志，默认关闭
三、两大核心接口链路日志（日常采集重点）
1、PHY_UPDOWN（物理层状态变更，级别 3 Error）
代表网口硬件物理通断（网线插拔、光模块故障、对端断电、网口硬件损坏都会触发）
标准日志样例
plaintext
<187>%2026-08-06 15:22:10.123 FW-F1000CG2 IFNET/3/PHY_UPDOWN: Physical state on the interface GigabitEthernet1/0/1 changed to down.
<187>%2026-08-06 15:22:15.456 FW-F1000CG2 IFNET/3/PHY_UPDOWN: Physical state on the interface GigabitEthernet1/0/1 changed to up.
字段释义
Physical state：物理电层 / 光层状态；
GigabitEthernet1/0/1：接口全称，GE/10GE/SFP 万兆口通用格式；
changed to down /up：物理断开 / 物理接通。
产生原因
网线松动、光模块失效、交换机端口关闭、终端断电、接口硬件故障。
2、LINK_UPDOWN（协议层状态变更，级别 5 Notification）
物理 UP 之后，三层协议 / 链路协议初始化完成才会产生，真正代表接口可以转发流量。
样例
plaintext
<187>%2026-08-06 15:22:15.610 FW-F1000CG2 IFNET/5/LINK_UPDOWN: Line protocol state on the interface GigabitEthernet1/0/1 changed to up.
<187>%2026-08-06 15:22:10.301 FW-F1000CG2 IFNET/5/LINK_UPDOWN: Line protocol state on the interface GigabitEthernet1/0/1 changed to down.
关键逻辑
接口流程：PHY_UP → LINK_UP；断开顺序：LINK_DOWN → PHY_DOWN；
只收到PHY_DOWN无后续LINK_DOWN：大概率网线 / 光链路突发中断；
频繁交替 PHY_UP/DOWN = 链路震荡、网线老化、光功率过低。
四、链路聚合（LAGG）接口衍生日志（F1000-CG2 支持聚合）
1、LAGG_MEMBER_ACTIVE 聚合成员接口加入聚合组
plaintext
IFNET/5/LAGG_MEMBER_ACTIVE: Member GigabitEthernet1/0/2 of Bridge-Aggregation1 becomes active.
2、LAGG_MEMBER_INACTIVE 聚合成员脱离
plaintext
IFNET/4/LAGG_MEMBER_INACTIVE: Member GigabitEthernet1/0/2 of Bridge-Aggregation1 becomes inactive due to physical state down.
五、其他接口相关扩展 Syslog
1、接口带宽协商变更
plaintext
IFNET/6/SPEED_CHANGE: Interface GigabitEthernet1/0/1 speed changed to 1000M.
IFNET/6/DUPLEX_CHANGE: Interface GigabitEthernet1/0/1 duplex mode changed to full.
用途：排查协商成百兆、半双工导致网速卡顿问题。
2、接口 CRC 错包激增告警
plaintext
IFNET/4/ERROR_RISING: Interface GigabitEthernet1/0/1 receives excessive error packets.
含义：网线质量差、光污染、端口故障产生大量 CRC 错误。
3、接口管理性 shutdown（人为关闭端口）
plaintext
IFNET/5/ADMIN_DOWN: Interface GigabitEthernet1/0/1 was administratively shut down.
区分：ADMIN_DOWN是人手工 shutdown，普通PHY_DOWN是物理故障。
六、F1000-CG2 开启接口 Syslog 完整配置（对接日志采集器）
1、基础开启信息中心、发送 Syslog 到采集服务器（UDP 514 标准）
shell
system-view
info-center enable
# 指定日志采集服务器IP
info-center loghost 192.168.20.100 facility local7
# 放行IFNET接口所有级别日志发送至服务器
info-center source IFNET loghost level informational
# 携带设备主机名、设备SN（方便日志平台区分多防火墙）
info-center loghost source Vlan-interface 1
info-center timestamp loghost date precision millisecond
2、按需屏蔽频繁震荡端口的 UP/DOWN 日志（防止日志风暴）
内网 PC 接入端口频繁插拔会刷屏日志，单独关闭该端口链路日志：
plaintext
interface GigabitEthernet 1/0/8
undo enable log updown
恢复日志：enable log updown（默认开启）。
3、Web 界面开启方式（F1000-CG2 新版 Web）
登录防火墙 Web → 系统 → 日志设置 → 信息中心；
新增日志主机，填入采集器 IP、协议 UDP514；
模块过滤选择 IFNET，级别选择通知 (5)、错误 (3)；
保存应用。
七、日志字段解析规则（供 ELK/SIEM 日志平台提取字段）
模块固定取值：IFNET；
接口字段正则提取：(GigabitEthernet|TenGigabitEthernet|Bridge-Aggregation)[0-9\/]+；
状态字段：changed to up / changed to down / administratively shut down；
区分故障类型：
PHY_DOWN = 物理链路故障；
ADMIN_DOWN = 人为关闭端口；
SPEED_CHANGE 反复变动 = 网线 / 端口协商故障。
八、故障判定标准（基于接口 Syslog）
正常上线：PHY_UP → 短暂间隔后 LINK_UP；
网线被拔掉：先 LINK_DOWN，立刻 PHY_DOWN；
链路震荡故障：短时间内多次 PHY_UPDOWN 交替；
管理员关闭端口：产生 ADMIN_DOWN 日志；
光模块异常：光口反复 PHY DOWN，无 ADMIN_DOWN 日志。
九、官方参考文档获取渠道
完整官方《SecPath F1000-CG2 日志信息参考手册 V7.1R09》：联系 H3C 400，提供设备序列号下载完整版所有日志释义；
本地查看所有 IFNET 日志释义（防火墙内查询）：
plaintext
display info-center message IFNET
display info-center message IFNET PHY_UPDOWN
十、补充说明
F1000-CG2 不存在单独「接口日志文档」，接口链路日志统一收录在《安全产品日志信息参考 (V7)》 手册 IFNET 章节；
日志默认使用 UDP 514，若采集器使用 TCP syslog，配置增加 info-center loghost 采集IP protocol tcp port 6514；
若需要日志携带防火墙序列号，开启：info-center loghost include serial-number。