问

配置日志快速输出不成功，请各位大侠帮看看

Syslog日志

2天前提问

0关注
0收藏，79浏览

愤怒的小春子

愤怒的小春子零段

粉丝：0人关注：0人

问题描述：

按照配置指导文档，完成配置后，验证配置发现不成功。

日志服务器是centos7，配置rsyslog服务，udp514，tcp514均打开，内置firewall服务关闭。通过命令netstat -tulpn | grep 514查得端口监听正常，通过网络中的其他电脑用tcping测试，可以正常ping通tcp514端口。通过tcpdump -i any port 514命令可以正常侦测到tcping发送过来的报文

F1000防火墙在配置完成后，通过tcpdump -i any port 514命令发现没有侦测到防火墙发送过来的任何514端口报文

组网及组网描述：

#信息中心默认开启

info-center enable

#nat log日志开启

nat log enable

nat log flow-active 30

nat log flow-begin

nat log flow-end

#customlog相关配置

customlog format nat telecom

customlog format session

customlog format security-policy sgcc

customlog format dpi ips sgcc policy-hit

customlog format dpi anti-virus

customlog format scd

customlog host 172.17.122.240 export telecom-userlog

customlog host source M-GigabitEthernet1/0/0

#接口

interface M-GigabitEthernet1/0/0

ip address 172.17.122.231 255.255.255.0

#接口的安全域

security-zone name Management

import interface M-GigabitEthernet1/0/0

import interface M-GigabitEthernet1/0/1

#安全策略

security-policy ip

rule 60 name local-Management

action pass

source-zone Management

destination-zone Local

rule 61 name Management-local

action pass

source-zone Local

destination-zone Management

#测试ping日志服务器

[YQLT-H3C-F1000]ping 172.17.122.240

Ping 172.17.122.240 (172.17.122.240): 56 data bytes, press CTRL+C to break

56 bytes from 172.17.122.240: icmp_seq=0 ttl=64 time=0.698 ms

56 bytes from 172.17.122.240: icmp_seq=1 ttl=64 time=0.604 ms

56 bytes from 172.17.122.240: icmp_seq=2 ttl=64 time=0.592 ms

56 bytes from 172.17.122.240: icmp_seq=3 ttl=64 time=0.590 ms

56 bytes from 172.17.122.240: icmp_seq=4 ttl=64 time=0.638 ms

#防火墙version信息

[YQLT-H3C-F1000]disp version

H3C Comware Software, Version 7.1.064, Release 8601P14

H3C SecPath F1000-AI-60 uptime is 67 weeks, 3 days, 7 hours, 44 minutes

Last reboot reason: User reboot

Boot image: flash:/F1090FW-CMW710-BOOT-R8601P14.bin

Boot image version: 7.1.064, Release 8601P14

Compiled Apr 03 2020 15:00:00

System image: flash:/F1090FW-CMW710-SYSTEM-R8601P14.bin

System image version: 7.1.064, Release 8601P14

Compiled Apr 03 2020 15:00:00

SLOT 1

CPU type: Multi-core CPU

DDR4 SDRAM Memory: 8192M bytes

FLASH: 7296M bytes

CPLD_A Version: 1.0

CPLD_B Version: 2.0

Release Version:SecPath F1000-AI-60-8601P14

Basic BootWare Version:1.07

Extend BootWare Version:1.07

BuckleBoard Version:Ver.A

BackBoard1 Version:Ver.A

BackBoard2 Version:Ver.D

HD_BackBoard Version:Ver.A

Pcb Version:Ver.B

[SUBCARD 0] NSQ1F1MSPUOTXA(Hardware)Ver.B, (Driver)1.0, (Cpld)1.0

Boot Type: Cold

有文档说是还需要在nat接口下加入logging关键字，比如接口下packet-filter 3006 outbound logging，但是我这个版本没有

3 个回答

按时间按赞数

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：166人关注：11人

防火墙抓包看看有没有发送出去

先确认下是防火墙问题还是其他问题

肯定了是防火墙的问题，不知道是哪里配置错误或者是不全，从debug抓包都可以看出来

愤怒的小春子发表时间：1天前 更多>>

肯定了是防火墙的问题，不知道是哪里配置错误或者是不全，从debug抓包都可以看出来

愤怒的小春子发表时间：1天前

zhiliao_Gixe

zhiliao_Gixe 八段

粉丝：14人关注：9人

排查步骤（按优先级）
1. 确认日志输出配置正确性
查看信息中心配置
display info-center
display info-center loghost
关键检查项：
全局信息中心是否开启（默认开启，若关了需info-center enable）
日志主机地址、端口（默认UDP514，若用TCP需指定transport tcp）、VPN实例（若日志服务器在非公网VPN需绑定vpn-instance）是否匹配
输出规则是否允许对应模块/级别日志（如info-center source default loghost level informational）
2. 检查防火墙到日志服务器的连通性
用防火墙出接口ping日志服务器，注意绑定对应VPN
ping -a <出接口IP> <日志服务器IP>
若用TCP日志，测试TCP连通
telnet <日志服务器IP> 514
排查是否有路由、安全策略、NAT限制导致流量不通。
3. 确认有日志生成且输出到日志主机通道
查看本地日志缓冲区是否有日志生成
display logbuffer
查看日志主机通道统计
display info-center statistics loghost
若通道统计中发送数为0，大概率是输出规则或通道配置问题。
4. 抓包验证（防火墙侧）
在内网出接口抓包，替换interface和host参数
packet-filter interface <出接口名> inbound outbound
packet-capture interface <出接口名> capture-filter "host <日志服务器IP> and port 514" write flash:log.pcap
若抓不到包，回到配置/路由/策略排查；若抓到但服务器收不到，排查中间链路。
5. 常见坑点排查
防火墙日志（如会话日志、攻击防范日志）需单独配置输出到日志主机，不是默认随系统日志输出
若用TCP日志，需两端都配置TCP模式，且防火墙侧info-center loghost transport tcp port 514
日志服务器rsyslog需开启对应模块（UDP/TCP接收模块，$ModLoad imudp/$ModLoad imtcp），且配置了接收规则

disp logbuffer也有很多日志输出

愤怒的小春子发表时间：1天前 更多>>

按你的方法，info-center source default loghost level informational默认是开启，执行了一遍，我debug了相关报文，源是本机接口IP,目的是日志服务器IP，回包也抓了，debug没有抓到任何报文，但是我主动发起telnet 514端口到日志服务器，debug立刻有显示报文发送，并且日志服务器也有回包，也就是防火墙根本就没发送报文

愤怒的小春子发表时间：1天前

disp logbuffer也有很多日志输出

愤怒的小春子发表时间：1天前