h3c L5030 接入不了国网安管平台

(4)     （可选）配置发往日志主机的日志信息的输出格式。

info-center format { cmcc | rfc5424 | sgcc | unicom }

缺省情况下，发往日志主机的日志信息的格式为非定制格式。

本命令中sgcc参数的支持情况与设备型号有关，具体请参见命令参考。

(5)     （可选）配置发往日志主机的定位信息中携带设备序列号。

info-center loghost locate-info with-sn

缺省情况下，发往日志主机的日志定位信息中不携带设备序列号。

(6)     （可选）配置发送的日志信息的时间戳格式。

info-center timestamp loghost { date [ with-milliseconds ] | iso [ with-milliseconds ] | no-year-date | none }

缺省情况下，发往日志主机的日志信息的时间戳输出格式为date格式。

核心结论：L5030 负载均衡业务日志（LB）没有内置 sgcc 国网格式，只有安全策略 / IPS 支持 sgcc 快速日志；系统 syslog 的 info-center sgcc 只处理设备系统日志，不能把 LB 业务流量日志转成国网 1084 字段结构H3C。

国网 1084 号安管平台要求：固定字段顺序、携带设备 SN、设备类型、时间戳（带毫秒）、源 / 目的 IP、端口、协议、动作等固定字段，默认标准 syslog 字段缺失 / 顺序不对，平台不认。

一、两个日志通道区分（关键，很多人踩坑）

1. info-center（普通 syslog，UDP 514）：设备系统日志、配置变更、告警。新版本 V7 支持info-center format sgcc，输出国网格式系统日志；负载均衡业务日志不走这个 sgcc。

限制：LB 负载均衡业务日志不跟随 info-center sgcc，这条只能解决设备本身运维日志，不能解决业务访问日志。

2. customlog 快速日志（推荐给国网安管）：业务日志（LB、安全策略、IPS）。
   • security-policy / ips 支持 sgcc 关键字，直接输出国网格式；
   • module loadbalance 负载均衡模块，无 sgcc 参数，只有标准快速日志，这就是你问题根源：LB 业务日志没有原生国网模板，V7 L5030 固件不支持直接把 LB 快速日志输出 SGCC 格式H3C。

二、3 套解决方案，按优先级

方案 1【优先，现场最常用】安管平台侧日志解析适配（不用改设备固件）

设备继续输出 LB 标准 customlog 快速日志，在国网安管平台采集器 / 前置机上做字段映射：

• 前置机接收 L5030 标准快速日志，正则提取：源 IP、目的 IP、端口、协议、VIP、RS、访问动作、时间、SN；
• 重排序、补全 1084 号文需要的字段，再转发给国网安管平台。

优点：不用升级固件、无业务风险；缺点：需要在安管前置机做解析模板，需要国网平台厂商配合。

方案 2【设备侧，受限】仅安全策略日志走 sgcc 快速日志

如果安管平台只需要安全策略日志，不需要 LB 业务调度日志：

⚠️ 仅安全策略，负载均衡调度日志（server-lb、链路 LB）无法 sgcc。

方案 3【备选】升级 L5030 V7 固件 + 提交 H3C 研发需求

1. 先升级到官网最新稳定 V7 版本，确认版本是否新增 LB 模块 SGCC 格式（大部分老版本不支持 LB sgcc）
2. 向 H3C400 开 case 提交需求：L5030 负载均衡模块 customlog 增加 SGCC 国网 1084 格式输出。

缺点：周期长，需要版本合入，临时不能上线。

三、排查校验步骤

1. 抓包：在 L5030 或者前置机抓 UDP 报文，对比：
   • info-center syslog（系统日志）是否带 SN、正确时间戳；
   • customlog 快速 LB 日志：查看字段，确认缺少国网要求字段。
2. 区分安管平台采集需求：
   • 只采集设备告警 / 系统日志：info-center format sgcc 即可满足；
   • 需要 LB 业务调度日志（VIP、真实服务器、会话）：设备原生不支持，只能前置机解析转换。
3. 字符集：国网一般要求 GB18030，不要 UTF8，避免中文乱码。

四、常见坑

1. 混淆 info-center sgcc 和 customlog sgcc：info-center sgcc≠业务 LB 日志 sgcc；
2. 快速日志与普通 syslog 同时发送，平台重复采集；
3. 时间时区、不带毫秒、缺少 SN，1084 平台直接丢弃日志；
4. 端口问题：国网安管前置机很多不用 514，使用自定义端口，customlog host 需要指定对应端口。

五、快速精简配置模板（系统日志 SGCC）

  #1 开启快速日志全局开关 system-view customlog enable #2 时间戳（1084要求UTC+8，yyyy-MM-ddTHH:mm:ss格式） customlog timestamp local time-format iso #3 字符集，国网平台一般utf-8 customlog character-encoding utf-8 #4 核心：按1084附录字段编写format模板，示例（按需增减字段） #模板语法：$字段，如$timestamp $devname $srcip $dstip $eventtype等，参考H3C V7 customlog变量手册 customlog format "$timestamp|$sysname|$srcip|$srcport|$dstip|$dstport|$event|$severity|$reason" #5 指定日志接收服务器（国网安全平台采集地址，UDP/TCP） customlog host 10.x.x.x port 514 customlog host source Vlan-interfaceX