日志转存是长期分析的基础
设备本地日志缓冲区按内存划分，容量有限，重启会清空，长时间只保留最近一段。要做跨天跨周的分析、要回答「上周三那次抖动时设备报了什么」，就必须把日志实时转存到服务器。转存配置有三个要点：指定服务器地址与端口、按严重级别过滤避免洪泛、指定源接口保证服务器能识别日志来源。级别设置是最需要权衡的一项——级别过细会产生海量无关条目，把真正重要的告警淹没；级别过粗又会漏掉关键信息。
基本信息
| 目标配置 | 指定日志服务器地址与传输方式 |
|---|---|
| 级别过滤 | 按严重级别设置转发范围，级别由低到高逐级包含 |
| 源接口 | 指定 Loopback 或管理接口，便于服务器按来源分类 |
| 本地缓冲 | 单独设置本地缓冲区大小，作为服务器不可达时的兜底 |
| 协议 | 常用 syslog，注意 UDP 无重传，关键场景可考虑可靠传输 |
典型使用场景
- 故障追溯：回查数天前的接口与协议事件
- 集中审计：多设备日志汇总到同一服务器统一检索
- 告警联动：日志服务器按关键字触发通知
- 合规留存：按监管要求保留指定时长的日志
- 变更验证：变更前后同一时间段的日志对比
配置示例
配置示例
# Cisco
logging host 10.9.9.60 # 日志服务器地址
logging source-interface Loopback0 # 固定源地址，便于服务器识别
logging trap informational # 转发级别，按需收紧
logging buffered 65536 # 本地缓冲兜底
show logging | include host|trap # 确认配置已生效
# 华为
info-center loghost 10.9.9.60常见级别与用途
| 级别 | 说明 | 建议 |
|---|---|---|
| emergencies/alerts | 设备不可用级事件 | 始终保留，量小 |
| critical/errors | 硬件或关键功能异常 | 建议保留，是告警重点 |
| warnings | 需要注意的异常 | 建议保留，噪声适中 |
| notifications/informational | 状态变化与常规信息 | 量大，按需开启并配合过滤 |
日志级别可先放宽观察一段时间，统计各类条目的实际数量与占比，再决定收紧到哪一级，比凭经验直接设定更可靠。
只依赖转发到服务器而不配置本地缓冲：网络中断期间设备日志无处存放，恰恰是故障时段最关键的记录会丢失。