问
F1000-AI-35防火墙看不到安全策略的日志是为什么
4天前提问
- 0关注
- 0收藏，71浏览
最佳答案
zhiliao_Gixe
九段
排查步骤：
1. 确认安全策略日志功能已开启：
在安全策略中勾选“记录日志”后，还需在系统视图下执行 session logging enable 开启会话日志功能。
2. 检查日志存储位置：
执行 display logbuffer 查看日志缓冲区是否有安全策略日志。
如果配置了日志主机，执行 display loghost 确认日志主机配置是否正确。
3. 检查是否有匹配流量的会话：
执行 display session table 查看是否有命中该安全策略的会话。如果没有流量命中策略，则不会产生日志。
4. 确认日志级别设置：
执行 info-center source SecurityPolicy channel logbuffer log level informational 确保安全策略模块的日志级别正确。
5. 检查存储空间设置：
确认“存储空间设置”中“安全策略模块”的日志存储路径和空间是否充足，执行 display logfile 查看日志文件。
关键命令：
session logging enable
display logbuffer
display session table
info-center source SecurityPolicy channel logbuffer log level informational
display logfile
如果以上步骤仍无法解决，建议收集诊断信息并联系H3C技术支持。
1. 确认安全策略日志功能已开启：
在安全策略中勾选“记录日志”后，还需在系统视图下执行 session logging enable 开启会话日志功能。
2. 检查日志存储位置：
执行 display logbuffer 查看日志缓冲区是否有安全策略日志。
如果配置了日志主机，执行 display loghost 确认日志主机配置是否正确。
3. 检查是否有匹配流量的会话：
执行 display session table 查看是否有命中该安全策略的会话。如果没有流量命中策略，则不会产生日志。
4. 确认日志级别设置：
执行 info-center source SecurityPolicy channel logbuffer log level informational 确保安全策略模块的日志级别正确。
5. 检查存储空间设置：
确认“存储空间设置”中“安全策略模块”的日志存储路径和空间是否充足，执行 display logfile 查看日志文件。
关键命令：
session logging enable
display logbuffer
display session table
info-center source SecurityPolicy channel logbuffer log level informational
display logfile
如果以上步骤仍无法解决，建议收集诊断信息并联系H3C技术支持。
一、基础前提检查
- 确认流量真实命中这条安全策略
display security‑policy‑ip statistics rule name xxx
计数为 0：流量根本没有匹配这条策略，自然不会产生日志；检查源 / 目的域、地址、服务、策略顺序。
- 信息中心总开关必须开启
display info‑center
如果 Information Center 为 Disabled：
system‑view
info‑center enable
- 核对设备系统时间
display clock
Web 查询时间范围与设备实际时间不一致，会查询不到日志。
二、安全策略日志本身配置检查（重点）
进入策略视图确认命令行下logging enable真正生效，Web 勾选有时配置下发异常：
security‑policy‑ip
rule name test
display this
必须看到logging enable；Web 勾选不代表命令行一定存在该配置。
可选：开启安全策略日志实时发送（会话建立就输出，不等会话结束）
system‑view
security‑policy‑ip
security‑policy log real‑time‑sending enable
三、区分【安全策略匹配日志】和【会话流量日志】
- 安全策略匹配日志：由策略下
logging enable控制，记录五元组 + 命中哪一条安全策略。 - 会话流量日志（数据中心看到的会话日志），必须全局开启会话统计，Web 没有该开关，缺少这条就看不到会话日志H3C：
system‑view
session statistics enable
高频坑：Web 上勾选安全策略存储，不等于自动开启 session statistics enable，不开启则数据中心不会入库会话日志。
四、本地数据中心 DAC（数据分析中心）检查
- Web：系统管理‑存储空间设置，确认安全策略模块不是 “禁止”；
- 命令查看 DAC 存储状态：
display dac storage‑usage
- 如果存储已经占满，旧日志被覆盖，新日志无法入库；
- 存储空间动作如果是
log‑only，满了不再写入新日志；
- DAC 日志不是实时入库，有缓冲定时器，配置完成后需要打流测试，等待数分钟才会出现日志。
五、容易忽略的场景
- deny 阻断报文日志：短报文、半连接、TCP 握手不完整，部分场景不生成会话日志；测试尽量用完整 TCP 业务访问。
- CPU / 内存过高保护：CPU 持续高于 90%，DAC 会停止日志入库保护性能，不再写日志到本地数据中心H3C。
display cpu‑usage
display memory
- 日志缓冲区溢出丢弃
display info‑center buffer summary
查看 dropped 计数，如果大量丢弃，说明日志量超过缓冲区，本地 Web 看不到。
六、快速定位的验证手段
- 测试：把策略动作改成 deny，打测试流量，阻断日志更容易输出；
- 临时开启安全策略日志实时发送；
- 先在命令行看是否产生日志：
terminal monitor
terminal debugging
打业务流量，看控制台是否打印安全策略日志。
- 控制台能看到日志，Web 数据中心看不到：问题出在 DAC 数据中心入库、
session statistics enable、存储配额； - 控制台完全看不到日志：策略未命中、
logging enable未真正下发、info‑center 未开启。
七、完整最小配置参考
system‑view
info‑center enable
session statistics enable
security‑policy‑ip
security‑policy log real‑time‑sending enable
rule name test‑log
source‑zone trust
destination‑zone untrust
action pass
logging enable
quit
排查顺序小结
- 确认流量命中安全策略（看策略统计计数）；
- 确认策略命令行确实有
logging enable； - 全局开启
info‑center enable； - 开启
session statistics enable（会话日志必须）； - 检查 DAC 存储空间是否占满；
- 核对设备时间，等待 DAC 定时器入库；
- 控制台 monitor 验证是否产生日志，区分是 “没生成日志” 还是 “生成但 Web 不显示”。
补充：本地 Web 数据中心只适合少量日志调试；正式运维建议配置 syslog 服务器，把安全策略日志外发到专门日志服务器，可靠性远高于设备本地存储。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明