策略日志与外发是什么
策略日志记录流量的放行、拒绝与会话建立结束情况，是安全审计与排障的基础数据。设备本地缓冲只能短期查看，日志滚动或重启即丢失，因此需要配置外发到日志服务器集中留存。开启范围要按需取舍：关键区域对和关键策略开启详细日志，其余保持精简，避免高峰时段产生巨量数据压垮日志平台。
基本信息
| 日志类型 | 策略命中日志、丢包与拒绝日志、会话建立与结束日志 |
|---|---|
| 本地查看 | 显示本地日志缓冲的命令，适合临时排查与现场确认 |
| 外发方式 | 通过 info-center 指定日志服务器地址与级别 |
| 开启粒度 | 按策略或按区域对开启，避免全量开启带来的性能与容量压力 |
| 关联要求 | 时间同步到位，才能与威胁日志、NAT 日志一起做事件关联 |
典型使用场景
- 排障取证：确认某次访问是被拒绝还是根本没到设备
- 变更验证：策略调整后核对关键业务的放行记录是否正常
- 安全审计：留存放行与拒绝记录，满足合规检查要求
- 威胁处置：结合拒绝日志判断扫描行为的来源与频率
- 策略评审：用日志统计辅助识别低使用率规则
华为外发示例
华为外发示例
system-view
info-center enable # 启用信息中心
info-center loghost 192.168.30.100 # 指定日志服务器
quit
# 上线初期对关键区域对开启策略日志，稳定后再按审计要求收敛
display logbuffer | include Deny # 本地临时查看拒绝类记录H3C 外发示例
H3C 外发示例
system-view
info-center enable
info-center loghost 192.168.30.100
quit
# 先确认与日志服务器连通并核对接收端口，再开启大流量日志日志类型与用途
| 类型 | 记录内容 | 主要用途 |
|---|---|---|
| 策略命中 | 哪个规则放行了哪条流量 | 变更验证与规则评审 |
| 拒绝与丢包 | 被策略或默认动作丢弃的流量 | 排障定位与攻击来源分析 |
| 会话建立结束 | 连接开始与结束时间、流量统计 | 容量分析与长期趋势 |
| NAT 日志 | 地址端口转换对应关系 | 外部地址回溯到内网主机 |
| 系统日志 | 登录、配置变更与告警 | 审计与运维留痕 |
上线初期建议先对关键区域对开启策略日志，稳定后再按审计要求收敛日志量；全量开启会话日志会在高峰时段产生巨量数据，先评估日志服务器容量再动手。