日志过滤在解决什么
不做过滤的日志等于没有日志：级别全开时每秒几十条噪声会把真正的事件淹没，级别收得太死又会漏掉接口抖动。三厂都按 Syslog 的 0-7 严重级别分级，并支持按输出通道（控制台、缓冲区、日志主机）分别设阈值。配置的本质是：哪类信息、送到哪个通道、最低放到哪个级别。
基本信息
| 适用平台 | 华为 VRP（info-center）、思科 IOS（logging）、H3C Comware（info-center） |
|---|---|
| 常见通道 | console 控制台、monitor 终端监视、logbuffer 本机缓冲区、loghost 日志主机 |
| 级别范围 | 0 emergency 最严重，7 debugging 最详细 |
| 权限要求 | system-view / 全局配置模式 |
Syslog 严重级别
| 级别 | 名称 | 含义 |
|---|---|---|
| 0 | emergency | 系统不可用（设备级故障） |
| 1 | alert | 需要立即处理（如主电源故障） |
| 2 | critical | 严重故障（如内存耗尽） |
| 3 | error | 错误事件（如接口异常） |
| 4 | warning | 告警（如温度偏高） |
| 5 | notification | 正常但重要（如接口 up/down） |
| 6 | informational | 一般信息（常规运行记录） |
| 7 | debugging | 调试信息（最详尽，慎开） |
典型使用场景
- 集中审计：只把 warning 及以上送到日志服务器，降低存储与检索成本
- 接口抖动定位：临时把 logbuffer 放到 notification，抓接口 up/down 记录
- 控制台防打断：console 级别调到 error 以上，避免正常工作被刷屏
- 故障复盘：先看清 logbuffer 的时间线，再决定是否开 debug 复现
- 分级告警对接：不同级别投递到不同监控通道，紧急事件走短信
华为 VRP
华为 VRP
[Huawei] info-center loghost 10.10.10.20 # 指定日志主机
[Huawei] info-center source default channel loghost level warning
! 只把 warning 及以上送日志主机；通道分 console/monitor/loghost/logbuffer
[Huawei] info-center source default channel logbuffer level notification
[Huawei] display logbuffer | include GigabitEthernet # 按关键字过滤查看思科 IOS
思科 IOS
SW-CORE-01(config)# logging host 10.10.10.20 # 日志服务器地址
SW-CORE-01(config)# logging trap warnings # 送往服务器的最低级别
SW-CORE-01(config)# logging buffered 16384 informational # 缓冲区大小与级别
SW-CORE-01(config)# logging console errors # 控制台只看错误以上
SW-CORE-01(config)# logging synchronous # 日志不打断正在输入的命令H3C Comware
H3C Comware
[H3C] info-center loghost 10.10.10.20
[H3C] info-center source default loghost level warning
! Comware 同样按通道过滤：loghost/logbuffer/monitor/console华为与 H3C 用 info-center source 一条语法管所有通道，思科按目的地逐条设置（trap/console/buffered/monitor）；思科的级别可写全称也可写数字。
本机缓冲区的容量有限（思科 buffered 后面那个字节数、华为 display logbuffer 的缓存行数），级别放太低会很快把旧记录顶掉，排查前先把关键日志导出。