logbuffer 是什么
logbuffer 是设备本地的日志缓冲区，用 display logbuffer（华为 VRP、H3C Comware）查看最近若干条日志；思科对应 show logging。读写都在本机、不依赖网络，所以现场排障最快。代价是容量按条数分配、滚动覆盖，掉电或重启即清空，只适合判断「刚才发生了什么」，不能当留存手段。
基本信息
| 查看命令 | display logbuffer（华为 VRP、H3C Comware） |
|---|---|
| 厂商差异 | 思科 IOS 用 show logging 查看同类缓冲 |
| 容量 | 按条数配置，超出后覆盖最早的记录 |
| 持久性 | 内存缓冲，重启或掉电丢失 |
| 过滤方式 | display logbuffer | include <关键字> |
| 配合项 | 需 info-center 开启并设置缓冲输出级别 |
典型使用场景
- 现场排障：接口抖动、链路切换、登录失败时看最近几分钟的记录
- 链路验证：本地缓冲有日志但服务器没收到，问题就落在外发链路上
- 变更窗口内确认命令执行结果与报错原因
- 临时提高某模块级别后立即查看，事后再调回
- 设备刚重启时确认启动过程中的异常提示
查看与过滤
查看与过滤
display logbuffer # 查看全部缓冲日志
display logbuffer | include SECURITY # 只看安全相关条目
display logbuffer | include 10.20.1.5 # 按地址或关键字过滤
display info-center # 确认信息中心与外发状态
info-center logbuffer size 1024 # 系统视图下调整缓冲条数
# 取值范围随机型与版本
save # 调整后保存配置输出逐列读法
| 字段 | 含义 | 关注点 |
|---|---|---|
| 时间戳 | 日志产生时间 | 与服务器时间对不上说明 NTP 未同步 |
| 模块 | 产生日志的功能模块 | 区分是接口、安全还是配置类事件 |
| 级别 | 严重程度 | error 及以上要立即看，warning 可能已累积 |
| 内容 | 事件描述与对象 | 含接口名、地址、规则号，是定位的关键线索 |
缓冲按条数计算，接口抖动或攻击流量几百条就能把关键登录日志冲掉，生产设备务必把外发日志服务器作为主通道。
重启后 logbuffer 清空，不要指望事后回来取证；需要留证时先导出到本地文件或截图归档，并记录获取时间。