M9000怎么导出用户登录日志、配置操作变日志和 NAT 转发日志
- 0关注
- 0收藏，65浏览
1. 用户登录日志和配置操作日志
这两种日志默认记录在设备本地，可通过以下方式导出：
配置日志主机（Syslog服务器）：
info-center loghost 192.168.1.100 facility local5
info-center source default loghost level informational
本地查看：
display logbuffer
导出本地日志文件（如果配置了日志文件保存）：
logfile save
然后通过FTP/TFTP将日志文件下载到PC。
2. NAT转发日志
NAT日志需要单独配置，支持输出到日志主机：
nat log enable
nat log flow-active 10
nat log flow-begin
nat log flow-end
info-center source NAT loghost level informational
配置后NAT会话建立、结束和活跃日志会发送到指定日志主机。
3. 统一导出方法
如果希望所有日志统一导出，建议部署Syslog服务器，在M9000上配置：
info-center enable
info-center loghost 192.168.1.100
info-center source default loghost level informational
这样登录、配置操作、NAT等所有日志都会实时发送到Syslog服务器，在服务器端可导出为文件。
注意事项：
R9724P38版本支持上述命令
确保M9000与日志服务器路由可达
日志量较大时建议使用独立日志服务器
配置操作日志需开启：
info-center source CFGLOG loghost level informational
M9000 框式 1+1 主控；支持 MDC/vSystem 多虚拟设备；登录 & 配置审计日志保存在 security‑logfile；普通系统日志 logfile；NAT 转发（flow‑log）业务日志，NAT 会话转发日志不会本地持久化保存到 flash，只支持实时外发日志服务器H3C。
一、用户登录日志 + 配置变更操作日志（security‑logfile 审计日志）
security‑logfile 记录：账号登录 / 注销、登录源 IP、执行完整命令、配置修改操作；普通
logfile只记录事件告警，没有完整命令行，审计必须导出 security‑logfile。 ⚠️M9000 有主备两块主控；主备倒换后旧日志存在备用主控 flash，主、备主控都要导出；存在 MDC 时，每个 MDC 内部独立日志，需要进入对应 MDC 执行保存命令。
1、确认功能开启（默认开启）
system‑view
info‑center enable
info‑center security‑logfile enable
2、把内存缓冲区日志落盘写入 flash
<H3C> security‑logfile save
<H3C> logfile save
3、查看主、备主控日志文件列表
#当前主主控
dir flash:/security‑logfile/
dir flash:/logfile/
#备用主控，slot编号按实际硬件槽位
dir slot1#flash:/security‑logfile/
dir slot1#flash:/logfile/
4、导出（TFTP/FTP，设备作为客户端，PC 运行 TFTP 服务）
#导出安全审计日志（登录+配置操作）示例，文件名替换dir看到的实际文件名
tftp 192.168.1.10 get flash:/security‑logfile/security‑logfile1.log
#导出备主控审计日志
tftp 192.168.1.10 get slot1#flash:/security‑logfile/security‑logfile1.log
#普通系统日志
tftp 192.168.1.10 get flash:/logfile/logfile1.log
tftp 192.168.1.10 get slot1#flash:/logfile/logfile1.log
也支持 USB 拷贝：
copy flash:/security‑logfile/xxx.log usb0:/
5、控制台现场查看（不导出）
display security‑logfile | include login
display security‑logfile | include config
Web 说明：M9000 Web 页面不能直接下载 security‑logfile 审计文件，只能 CLI 导出。
二、NAT 转发日志（NAT flow‑log 会话转换日志）【重点限制】
✅M9000 不支持把大量 NAT 会话转换日志保存到本地 flash；NAT flow‑log 只支持实时发送给外部 syslog / 快速日志主机，设备本地不会持久存储历史 NAT 转发记录H3C。
如果之前没有配置日志主机，设备没有留存历史 NAT 转发日志，无法回溯导出过去的 NAT 会话记录。
1）如果现在需要采集后续 NAT 转发日志（提前配置）
两种模式二选一，优先用快速日志输出 customlog（性能更高，M9000 防火墙板推荐）H3C：
system‑view
#开启NAT日志总开关
nat log enable
#方式A：快速日志输出（推荐，大流量NAT场景）
customlog format nat standard
customlog host 192.168.1.200 port 514 export nat
#方式B：输出到info‑center syslog，只适合NAT流量很小场景，大流量会占满flash
userlog nat syslog
info‑center loghost 192.168.1.200 514
配置完成后，新产生的 NAT 建立 / 删除会话才会发送给日志服务器，旧的历史 NAT 日志拿不到。
2）只能实时看当前在线 NAT 会话（不是历史转发日志）
display nat session all
display nat session verbose
这条只能看此时此刻存在的会话；会话拆除之后就消失，不会保存历史记录。
三、MDC 多虚拟设备注意事项
如果设备划分 MDC/vSystem 虚拟防火墙：
- 登录进入对应 MDC：
switch‑to mdc mdc‑name - 在 MDC 视图下执行
security‑logfile save、logfile save，再导出该 MDC 内的登录 & 配置日志； - NAT flow‑log 需要在每个 MDC 内分别配置日志主机。
四、关键踩坑汇总
- 登录审计日志：必须导出 security‑logfile；同时收集主、备主控日志，防止主备倒换丢失历史记录；
- NAT 转发历史会话日志：设备本地不保存历史记录，必须提前部署外部日志服务器接收 flow‑log；没提前配置就无法导出过去 NAT 转换记录；
- NAT 会话表 display nat session 只能看当前存活会话，不能回溯历史；
- 审计日志有循环覆盖机制，日志文件写满会覆盖旧记录，重要环境建议配置
info‑center file‑server自动定时把 security‑logfile 备份远端服务器H3C。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
WEB界面在哪里导出呀