h3c防火墙接入电力系统

• F1020 可以接入电力系统、支持 syslog，能满足 1084 号文基本要求；
• 版本 7.1.064 默认 syslog 格式不完全匹配电力监测装置解析习惯，需要按电力规范调整格式、级别、内容；
• “网络通但抓不到 syslog”，基本是没开 info-center、没放通端口、格式 / 级别不对、安全域策略拦截这四类问题。

一、F1020 是否支持电力系统 & 1084 号文？

1）是否支持接入电力系统

• F1020 是国产防火墙、等保三级、支持 syslog、支持安全分区部署，电力厂站 Ⅰ/Ⅱ/Ⅲ 区都可以用。
• 1084 号文要求：防火墙以 syslog 方式向网安监测装置上送日志，F1020 完全满足这个接入方式。

2）syslog 是否符合 1084 号文

• 1084 配套规范要求：RFC3164 格式、包含时间、级别、设备名、模块、事件内容，能被科东 / 南瑞等监测装置解析。
• F1020（7.1.064）默认：
  • 支持标准 UDP 514 syslog；
  • 但默认格式偏 H3C 私有、时间格式、优先级字段、事件关键字段需要微调，否则监测装置能收到包但解析不到字段 / 归为无效日志。
• 结论：能满足，但必须按电力规范做配置优化，否则 “能收到但看不到”。

二、F1020（7.1.064）syslog 正确配置（适配电力监测）

1）命令行完整配置（推荐）

2）Web 界面配置

1. 系统 → 日志设置 → 基本配置 → 系统日志
2. 勾选 “启用系统日志”
3. 新建日志主机：
   • IP：科东监测装置 IP
   • 端口：514
   • 协议：UDP
   • 格式：RFC3164（必须选这个）
4. 日志级别：Informational
5. 保存。

三、为什么 “网络通但抓不到 syslog”？（按概率排序）

1）防火墙没开 info-center 或没配 loghost

• 现象：防火墙不发 syslog 包，抓包（tcpdump）看不到 514 端口 UDP 包。
• 排查：

2）安全域 / 策略拦截了 514 端口

• 现象：防火墙发了包，但自己的域间策略挡住，到不了监测装置。
• 电力典型组网：防火墙（信任 / 内网）→ 监测装置（非信任 / 管理）
• 必须放行：

3）syslog 格式不是 RFC3164，监测装置 “不认”

• 现象：抓包能看到 UDP 514 包，但监测装置日志列表为空 / 字段乱。
• 原因：7.1.064 默认是 H3C 私有格式，必须改成 rfc3164（上面配置第 4 条）。

4）日志级别设太高（只发告警，不发操作 / 登录）

• 现象：只有攻击日志，没有登录、配置、策略日志，不符合 1084 审计要求。
• 电力要求：informational 及以上（含 user/login/configuration）。

5）监测装置侧配置问题

• 端口是否 514、协议 UDP；
• 是否加了防火墙 IP 到 “受信任设备”；
• 解析模板是否选 “标准 RFC3164” 或 “H3C 防火墙”。

四、建议升级版本（关键）

• 7.1.064 是老版本，syslog 兼容性、电力适配性一般；
• 建议升级到 CMW710-R9345P24 及以上，官方优化了：
  • 原生支持电力 1084 号文 syslog 格式；
  • 日志字段更全（设备 ID、厂站编码、事件类型）；
  • 与科东、南瑞监测装置即插即用。

五、排查步骤（直接照着做）

1. 在 F1020 上：display info-center → 确认 enable、loghost、rfc3164、informational；
2. 抓包：tcpdump -i any host 监测装置IP and udp port 514 → 看是否发包；
3. 检查域间策略 → 放行 UDP 514；
4. 监测装置侧 → 确认端口、协议、解析模板正确；
5. 仍不行 → 升级到 R9345P24+。