| 范围 | 两端与中间设备日志都取 |
|---|---|
| 排序 | 统一时区与时间基准后合并 |
| 触发源 | 最早出现的异常事件 |
| 印证 | 关键事件的时间差是否吻合 |
取证思路
取证思路
# Cisco
show logging | include UPDOWN|BGP|CRYPTO
# 华为
display logbuffer | include brief日志时间线：把事件排成因果链
排障从日志时间线开始：按时间排序所有相关设备事件（接口、路由、认证、业务），找出最早的异常事件，避免被后续连锁事件带偏。
易错点
- 时区不统一：合并时间线时容易张冠李戴
- 只用自己设备的日志：缺少对端视角
数据来源与参考
- Cisco: 日志排障方法
- 华为产品文档：日志查看