防火墙日志存储问题

加硬盘

H3C SecPath 防火墙断电重启日志丢失，仅本地存储、不对外发送 syslog
现象：断电重启日志全部丢失；logbuffer（内存缓冲区）断电必然清空，这是正常机制。想要重启不掉日志，必须把日志持久化写入 flash / 硬盘非易失存储，不要只依赖内存 buffer。
关键原理区分
display logbuffer：内存缓冲区，RAM 存储，断电 / 重启全部清空，不能持久保存日志。
info‑center logfile：持久化日志文件，保存在 flash / 硬盘，断电不丢失；日志先写到内存 buffer，设备定时自动刷入文件，也可以手工触发保存。
业务日志（会话、威胁、URL 审计）：必须设备内置硬盘，业务日志不能大量存在 flash；无硬盘时业务日志只存在内存，重启直接清空。
用户需求：不要外发 syslog 日志主机，只依靠防火墙本机存储。
一、系统 / 设备运行日志（info‑center 普通日志）持久化配置
plaintext
system‑view
#开启信息中心
info‑center enable
#开启本地日志文件持久化保存（写入flash，断电不丢失）
info‑center logfile enable
#日志存储路径，有硬盘可以改为硬盘hdd0:/logfile
info‑center logfile directory flash:/logfile
#单个日志文件大小，单位MB
info‑center logfile size 10
#最大保留日志文件数量，超过后覆盖最旧
info‑center logfile max‑files 20

#安全日志单独持久化（告警、安全事件）
info‑center security‑logfile enable
info‑center security‑logfile alarm‑threshold 90
save force
手工立刻把内存缓冲区日志刷入文件（紧急场景）
plaintext
<H3C> logfile save
<H3C> diagnostic‑logfile save
查看已经持久化保存的日志文件
plaintext
dir flash:/logfile
⚠️注意：flash 空间很小，只适合存系统运行日志；大量业务会话、威胁日志不要放 flash，容易占满 flash 空间。
二、业务日志（会话、威胁、审计、URL 日志）重点！
这是很多现场重启丢失日志的主要原因：
业务类日志（会话、攻击、审计日志），想要断电不丢失，设备必须装配内置硬盘；无硬盘情况下业务日志仅驻留内存，重启全部清空，没有办法仅靠 flash 持久化大量业务日志。
Web 路径：【系统管理‑日志设置‑存储空间设置】，业务日志存储介质选择hdd0（硬盘），设置保存周期、存储上限，上限动作覆盖旧日志。
检查硬盘状态命令
plaintext
display disk information
如果输出 hdd0 硬盘正常：业务日志可以本地硬盘持久化，重启不丢。
如果没有硬盘，只有 flash：业务会话 / 威胁日志无法本地持久保存，重启一定丢失，该硬件限制无法通过命令配置绕过，要么加装硬盘，要么必须外发 syslog 服务器。
三、常见踩坑点
❌只看display logbuffer判断日志，重启就清空；这个是内存缓存，不是持久化文件；需要查看 flash/logfile 下面的 logfile*.log 文件。
❌开启 logfile enable 之后，新日志不会立刻写入文件，是定时刷盘；断电瞬间内存还没刷入磁盘的少量日志会丢失；重大故障发生后建议手工执行logfile save立即落盘。
❌flash 空间耗尽，日志无法写入，表现为配置已经开启 logfile，但是看不到日志文件，需要清理 flash 无用文件。
IRF 堆叠：主备切换，内存 logbuffer 同样清空；持久化日志文件保存在主设备 flash / 硬盘。
四、快速排查命令
plaintext
#查看日志文件功能是否开启
display info‑center status
#查看flash下持久化日志文件
dir flash:/logfile
#查看硬盘状态
display disk information
#手工将内存缓冲区保存到文件
logfile save
diagnostic‑logfile save
知了社区精简版
原因说明
display logbuffer是内存缓冲区，断电重启一定会清空，属于正常现象。想要重启日志不丢失，需要开启本地日志文件持久化存储，写入 flash / 硬盘，不要只依赖内存 buffer；不配置 syslog 外发也可以本地保存。
系统日志配置（运行、告警、操作日志，存 flash）
plaintext
system‑view
info‑center enable
info‑center logfile enable
info‑center logfile directory flash:/logfile
info‑center logfile size 10
info‑center logfile max‑files 20
info‑center security‑logfile enable
save force
业务会话、威胁审计日志：必须设备装配内置硬盘才能本地持久保存；无硬盘时业务日志仅存在内存，重启必然丢失，硬件限制无法通过命令解决。Web 界面【系统管理‑日志设置‑存储空间设置】业务日志存储介质选择硬盘 hdd0。
手工立刻将内存日志刷入存储：
plaintext
logfile save
diagnostic‑logfile save
查看持久化日志文件：dir flash:/logfile；查看硬盘状态：display disk information。
注意：flash 容量有限，仅适合系统日志，不要把大量业务日志存在 flash。