F5060防火墙默认隐藏deny策略日志怎么开启。

在H3C F5060防火墙上，默认情况下安全策略的deny命中日志不会输出，需要手动开启。具体操作如下：
1. 进入系统视图：

system-view

2. 开启安全策略日志功能（全局使能）：

session log enable

或使用：

security-policy log enable

3. 针对具体安全策略规则开启日志记录。进入安全策略视图，找到需要记录日志的deny规则，添加logging参数：

security-policy
rule name <规则名称>
action drop
logging enable

4. 如果希望所有deny规则默认记录日志，可以在安全策略中配置默认规则日志：

security-policy
default rule logging enable

5. 保存配置：

save force

开启后，deny命中日志会输出到日志缓冲区或日志服务器，可通过display logbuffer查看。

命令行配置（推荐）

<H3C>system‑view #进入IPv4安全策略视图 [H3C]security‑policy ip #开启隐式缺省deny规则日志记录 [H3C‑security‑policy‑ip]default rule logging enable [H3C‑security‑policy‑ip]quit [H3C]save

命令说明：default rule logging enable，开启后，所有没有匹配上任何自定义安全策略规则，被末尾隐式 drop 丢弃的报文，就会生成安全策略日志H3C。

查看是否已开启：

display current‑configuration security‑policy ip

输出中出现default rule logging enable即代表配置成功。

方式二：新版 Web 界面配置

1. 登录新版 HTML5 Web →【策略】→【安全策略】
2. 在安全策略页面右上角找到 缺省规则 按钮
3. 勾选【记录日志】，确认提交配置。

配套前提：日志输出（必须确认，否则开启也看不到日志）

该缺省规则生成的日志交给 info‑center 信息中心处理，不会直接打印在 Console 控制台H3C。

1. 查看本地缓冲区日志验证：

display logbuffer | include "安全策略"

2. 如果要发送给外部 syslog 日志服务器，需要配置 info‑center loghost：

system‑view info‑center enable #指定日志服务器IP info‑center loghost 192.168.1.100 #允许security‑policy模块日志输出到日志主机 info‑center source security‑policy loghost level informational

容易踩坑两个混淆点

1. 安全策略 IP 缺省规则 vs 安全域间缺省动作（完全两套）

• 安全策略隐式 deny（本问题）：security‑policy ip下 default rule logging enable
• 安全域之间缺省动作日志（没有域间策略时丢弃流量）：security‑zone default‑policy logging enableH3C。

大部分园区场景流量是经过安全策略处理，需要第一条命令；只有不使用安全策略，依赖域间包过滤时才用第二条。

2. 自定义手动创建 drop 规则日志 如果是自己手动新建的 drop 策略，不是隐式缺省，要在该 rule 下配置logging enable：

security‑policy ip rule 10 name my‑deny action drop logging enable

验证

配置完成后，构造一条不会匹配任何自定义安全策略的流量，触发隐式丢弃；

• 本地：display logbuffer可以看到策略丢弃日志；
• 远端 syslog 服务器：收到安全策略模块的 drop 日志。

关闭该日志（回滚）

system‑view security‑policy ip undo default rule logging enable save

补充说明：开启缺省 deny 日志，在大流量环境下会产生大量日志，会占用日志存储和 syslog 带宽，上线后关注日志服务器存储容量。