深信服设备的日志外发方式
深信服设备（防火墙、WAF、上网行为管理等）的日志外发主要在控制台完成，两条常见路径：配置 syslog 外发到自建或第三方日志平台，或接入同厂商的日志中心产品做集中存储与报表。外发内容按模块选择，防火墙、入侵防御、WAF、审计各自独立，因此只开默认模块很容易漏掉关键数据。
基本信息
| 外发方式 | syslog 外发到日志平台，或接入厂商日志中心 |
|---|---|
| 内容选择 | 按模块开启：防火墙、入侵防御、WAF、审计等 |
| 参数配置 | 日志服务器地址、端口、日志级别与格式 |
| 验证方式 | 平台确认收到并可按时间与来源检索 |
| 许可限制 | 日志中心类产品的接入设备数与版本兼容需确认 |
| 升级影响 | 版本升级后外发配置可能被重置，需回归验证 |
典型使用场景
- 新设备接入统一日志平台的首次对接
- 日志平台更换或地址变更后的配置调整
- 审计要求补齐地址转换与审计类日志时的模块调整
- 版本升级后确认外发仍然正常
- 排查平台侧「某类日志完全没有」的问题
配置要点
配置要点
1. 配置日志服务器地址与端口 # 基础参数
2. 按模块选择需要外发的日志类型 # 关键步骤
3. 保存后触发一条测试事件验证 # 触发验证
4. 在平台上检索该事件，确认可查到 # 端到端
5. 纳入日常监控，日志中断要有告警 # 持续保障常见遗漏与后果
| 遗漏项 | 后果 |
|---|---|
| 地址转换与审计类日志未开 | 溯源时缺少转换关系与访问记录 |
| 只配单向日志 | 返回流量与拒绝记录缺失，分析不完整 |
| 未在平台侧检索验证 | 设备显示已发送但平台实际查不到 |
| 升级后未回归验证 | 外发配置被重置，日志静默中断 |
同厂商多设备接入日志中心时，注意授权设备数与版本兼容，超出许可的设备可能无法正常接入。
只开默认模块时地址转换与审计类日志会被遗漏，等真正需要溯源时才发现这类数据从未产生过。