用日志还原故障时间线
设备日志是排障的第一现场：故障已经恢复或间歇出现时，日志里的时间点往往能直接指出根因。三厂的查看命令不同，但套路一致：先关闭分页，再看日志缓冲区，用过滤关键字缩小到接口、协议或时间范围。日志缓冲区是环形结构，新日志会覆盖旧日志，所以故障后越早采集越好，关键网络应提前把日志外送到服务器长期保存。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 查看命令 | display logbuffer、show logging |
| 分页处理 | 华为临时关闭分页，H3C 关闭分页，思科设置终端不分页 |
| 过滤方式 | 按关键字过滤，例如接口名或事件类型 |
| 长期保存 | 配置日志服务器外送，避免覆盖导致证据丢失 |
典型使用场景
- 接口反复振荡，用日志确认时间点与频率
- 设备重启或协议中断，回溯最近一次异常
- 变更后出现异常，用日志时间点与变更记录对齐
- 间歇性丢包排查，比对链路状态变化与业务异常时间
- 为厂商报障准备日志证据
华为 VRP
华为 VRP
screen-length 0 temporary # 临时关闭分页
display logbuffer
display logbuffer | include ETH # 只看以太网相关日志
display logbuffer | include DOWN
display info-center # 查看日志输出配置与缓存大小思科 IOS
思科 IOS
terminal length 0 # 关闭分页
show logging
show logging | include LINK
show logging | include UPDOWN
! 建议配置日志外送到服务器：logging host 服务器地址H3C Comware
H3C Comware
screen-length disable # 关闭分页
display logbuffer
display logbuffer reverse # 反序输出，新日志在前
display logbuffer | include DOWN
display info-center日志回溯要点
| 观察项 | 含义 | 使用方式 |
|---|---|---|
| 时间戳 | 日志产生的时刻 | 与变更记录、告警时间对齐，判断因果关系 |
| 事件级别 | 从调试到紧急的等级划分 | 紧急与告警级别优先看，调试级别信息量大但易淹没 |
| 接口状态变化 | 链路 up 与 down 记录 | 数量多说明链路振荡，需要排查介质 |
| 协议状态变化 | 邻居建立与中断记录 | 与接口事件时间对齐可判断是否相互引发 |
| 重启与电源相关 | 设备启动与异常复位记录 | 判断是正常重启还是异常复位 |
使用要点
- 先关分页再看输出：不关分页时长日志会停在翻页提示符上，采集脚本会卡住
- 用关键字过滤：按端口名或事件类型过滤，比通读全部日志高效得多
- 反序查看能最快看到最新事件：部分平台支持反序输出，排查正在发生的问题时优先使用
- 把日志输出到服务器：缓冲区容量有限，关键网络必须外送，否则事后无法回溯
- 控制日志量：链路振荡时会刷出大量重复日志，必要时先降低输出级别
- 采集时记录时间点：与变更记录和业务投诉时间对照，是定位因果的关键
常见疑问
- 日志里什么都没有：确认日志等级与输出目标配置，并确认缓冲区未被覆盖
- 怀疑是变更引发怎么确认：把变更时间与日志时间对齐，看是否有连续事件
- 能否导出日志：多数平台支持输出到文件或服务器，脚本采集时统一处理
- 日志刷得太多怎么办：先降低输出级别或过滤接口，控制住量再看关键事件
日志缓冲区是环形结构：容量满后新日志覆盖旧日志，故障后拖延越久证据越少。关键网络应提前配置日志服务器外送，把回溯窗口从小时级延长到月级。
把接口事件与协议事件的时间点对齐看，能快速判断因果：例如接口先振荡还是协议先中断，决定了排查方向是介质层还是协议层。