日志缓冲区怎么看
设备内存中的日志缓冲区是排障的第一现场：接口 up/down、认证失败、协议邻居变化都在里面。华为/H3C 把日志（logbuffer）与告警（trapbuffer）分成两个缓冲区，思科的 show logging 里能同时看到 trap 与 buffered 两段内容。要注意两个限制：缓冲区是环形覆盖的，而且设备重启后清空。
基本信息
| 适用设备 | 全部设备（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 华为/H3C 命令 | display logbuffer；告警类在 display trapbuffer |
| 思科命令 | show logging（含 Trap logging 与 Buffered logging 两段） |
| 容量调整 | 思科 logging buffered；华为/H3C 对应信息中心配置 |
| 关键限制 | 滚动覆盖 + 重启清空 |
| 配套 | Syslog 外送用于长期留存 |
典型使用场景
- 故障回看：还原事件发生的时间线
- 确认接口是否发生过闪断（被监控忽略的瞬断）
- 查看登录失败与认证异常记录（爆破痕迹）
- 协议邻居变化与重收敛的历史记录
- 与 Syslog 互补：本地即时查看、服务器长期检索
华为 VRP
华为 VRP
<Huawei> display logbuffer
display logbuffer | include UP|DOWN # 过滤接口状态事件
display logbuffer | include login # 过滤登录相关记录
display trapbuffer # 告警类记录在另一个缓冲区思科 IOS
思科 IOS
SW-CORE-01# show logging
SW-CORE-01# show logging | include LINK|UPDOWN
SW-CORE-01# show logging | include OSPF|VRRP
! 输出含 Trap logging 与 Buffered logging 两段，分别对应告警与外送配置H3C Comware
H3C Comware
<H3C> display logbuffer
display logbuffer | include UP|DOWN
display trapbuffer # 告警类记录单独存放
display info-center # 看日志服务器的外送配置常见记录类型与排障价值
| 类型 | 典型内容 | 排障价值 |
|---|---|---|
| 接口状态 | 端口 UP/DOWN 与协议状态变化 | 定位闪断与链路劣化 |
| 认证与登录 | 登录成功/失败、认证方式 | 排查爆破与权限问题 |
| 协议邻居 | OSPF/BGP/VRRP 状态变化 | 定位震荡与主备切换 |
| 配置变更 | 保存配置、部分平台的命令记录 | 变更追溯与责任界定 |
| 告警类 | 华为/H3C 存在 trapbuffer | 硬件与告警事件多在此处 |
华为/H3C 查告警类记录要去 trapbuffer：在 logbuffer 里翻不到不代表事件没发生，先分清两个缓冲区的分工再下结论。
本地缓冲区只能当即时排查工具：容量有限、滚动覆盖，重启后清空。重要事件必须外送到 Syslog 服务器，否则事故复盘时证据已经不在了。