F5000如何创建filter.log

# 问题：F5000 执行`delete /unreserved flash:/logfile/filter.log`彻底删除 filter.log，如何恢复 / 创建 filter.log

## 文件说明

`filter.log`是 F5000（V7 防火墙）**安全策略匹配日志本地存储文件**，存放在`flash:/logfile/filter.log`，该文件**不能手动 touch 创建**，是业务进程自动生成的文件H3C。

>
> `delete /unreserved`是永久删除，回收站无备份，无法 undelete 恢复原文件内容H3C。

## 重建 filter.log 两种方案（按优先级）

### 方案 1：设备重启（最简单，优先推荐）

1. 确认业务窗口，保存设备配置`save`
2. 用户视图执行`reboot`重启防火墙

>
> 设备启动完成后，安全策略日志业务进程检测不到 filter.log，会**自动新建 filter.log 空文件**。
> 原有历史日志已经被`/unreserved`永久删除无法找回，后续新产生的安全策略命中日志会写入新 filter.log。

### 方案 2：不重启设备（业务不能中断场景）

>
> 原理：关闭再重新开启【安全策略日志本地存储】，触发进程重建日志文件。

1. 登录 Web 管理界面：**系统 → 日志设置 → 存储空间设置**
- 取消勾选：**安全策略日志**，点击应用；等待 10‑20 秒，关闭该日志存储模块。
- 再次勾选启用**安全策略日志**，点击应用。

>
> 后台业务进程重启，自动生成`flash:/logfile/filter.log`。

>
> 如果 Web 页面操作不生效，命令行操作对应模块（V7 防火墙）

```
system‑view
#关闭安全策略本地存储
security‑policy‑log disable
quit
#等待20秒
system‑view
#重新开启，触发自动创建filter.log
security‑policy‑log enable
```

## 验证是否重建成功

```
#进入logfile目录
cd flash:/logfile
dir
```

输出列表里能看到`filter.log`代表文件重建完成。

## 重要注意事项

1. **原 filter.log 历史数据已经永久丢失**：`delete /unreserved`直接彻底删除，没有任何手段找回旧日志，只能记录后续新日志H3C。
2. 必须确认安全策略规则上开启`logging`（记录日志），否则 filter.log 生成后也不会写入任何报文日志。

```
#查看策略是否开启日志标记
display security‑policy rule all | include logging
```

3. 不要手动使用`create / touch`命令去手动创建 filter.log，手动创建的空文件权限、文件属性和业务进程要求不一致，会出现日志无法写入、Web 安全策略日志页面空白。
4. 如果设备配置硬盘，安全策略日志优先存储到硬盘，`flash:/logfile/filter.log`只有硬盘未挂载时才会使用。

## 排错：执行完重建后 dir 仍然看不到 filter.log

1. 确认`security‑policy‑log enable`配置存在；
2. 确认 flash 剩余空间充足，`dir flash:`查看剩余存储；
3. 若 flash 空间满，先清理无用文件释放空间，再重新执行上面方案；
4. 以上全部无效，只能走设备重启方案。

## 补充：后续避免误删

>
> 禁止手动`delete /unreserved flash:/logfile/*.log`删除业务日志文件。
> 清理安全策略日志，Web 页面直接点【清空安全策略日志】，使用设备自带清理功能，不要命令行直接删底层日志文件。