H3C日志服务器配置的核心就是把交换机、路由器、防火墙的日志通过syslog协议集中发送到一台统一服务器，设备侧开启info-center并指定日志主机IP，服务器侧开放UDP 514端口接收即可。整个配置并不复杂，但很多朋友第一次接触时容易在细节上栽跟头，比如日志级别没调对、源接口没指定，导致服务器收到的IP地址乱跳，下面咱们按实际配置顺序一步步拆开讲,把命令和逻辑都理清楚。
h3c日志服务器配置步骤有哪些？
配置H3C日志服务器，本质上就是两端配合：设备端负责“发送”，服务器端负责“接收”，两端都配好后，日志才会像快递一样准时送达，下面从设备侧开始,按操作顺序说。
开启设备的信息中心功能
H3C设备（交换机、路由器、安全设备）默认情况下信息中心是开启的，但部分版本或经过安全加固的设备可能被关闭，登录设备后,先进入系统视图确认一下。
system-view info-center enable
这条命令是总开关，如果设备提示信息中心已开启，那就直接进入下一步，建议顺手用display info-center看一眼当前状态,确认loghost配置为空。
指定日志服务器地址和端口
核心命令就一行，告诉设备把日志发给谁、发到哪个端口，绝大多数场景下使用标准的syslog端口UDP 514。
info-center loghost 192.168.1.100 port 514
这里有几个容易出错的细节：
- IP地址必须是服务器能ping通的地址，可以是管理网段地址,也可以是专用日志VLAN的地址。
- 如果服务器使用非默认端口，比如有人为了避开防火墙限制改为UDP 2514,那这里的port参数要跟着改。
- 如果设备支持输出到多个服务器，可以重复执行该命令，但H3C不同系列支持的loghost数量不同,多数企业级设备支持2到4个。
配置日志级别和过滤条件
默认情况下，设备会把所有模块的info级别以上日志发给日志服务器，但实际运行中，debug级别日志量巨大，容易把服务器磁盘塞满；相反，如果只发error级别，又可能丢掉很多有价值的告警,所以需要按模块做过滤。
info-center source default loglevel informational
这条命令把全局默认级别设为informational，如果某个模块特别吵，比如ARP模块总是刷日志,可以单独压低它的级别：
info-center source arp loglevel warning
建议不要直接禁止某个模块的日志,否则关键故障时找不到线索。
指定日志源接口和输出格式
为什么要指定源接口？因为设备上可能存在多个三层接口，如果不指定，日志报文会从路由表选择的接口发出，源IP不稳定，服务器端做IP过滤或分组时就会混乱，建议使用Loopback接口作为源,或者使用管理接口。
info-center loghost 192.168.1.100 source-interface loopback 0
然后配置输出格式，H3C默认采用标准syslog格式，但实际上不同版本默认格式略有差异，为了服务器端解析方便，建议显式配置为不带主机名的格式,或者保留主机名但保持一致性。
info-center loghost 192.168.1.100 format hostname
format参数根据设备版本不同，可选hostname、timestamp等，具体用info-center loghost ?查看帮助。
保存配置并验证
配置完成后一定要save force保存，否则设备重启后啥都没了,然后验证一下：
display info-center | include loghost
能看到刚才配置的服务器地址，基本就成功了一半,另一半需要到服务器上去确认是否真的收到了日志。
h3c交换机日志发送到服务器怎么设置？
交换机与路由器、防火墙的配置命令几乎一模一样，但交换机上有一个特殊场景：跨VLAN管理，很多企业的网络设备管理地址在不同网段，日志服务器又在另一个网段，这时要确保设备到服务器之间的路由可达，并且中间防火墙放行UDP 514。
先确认网络连通性
在交换机上ping一下日志服务器地址,丢包或不通就先去处理路由和ACL。
ping 192.168.1.100
如果ping通，但日志还是到不了服务器，排查顺序是：设备安全策略→出口设备防护策略→服务器防火墙规则，不少用户在企业防火墙上只放行了TCP 80/443，忘了UDP 514,导致日志全部被丢弃。
交换机时间同步影响日志可信度
日志里最关键的字段除了内容，就是时间，如果交换机时钟不对，排查故障时你会发现日志顺序是乱的,建议配置NTP同步：
ntp-service enable ntp-service unicast-server 192.168.2.1
然后确认时区：
clock timezone Beijing add 08:00:00
这样服务器端收到的日志时间就和本地时间一致了。
验证日志是否真正发出
在设备上执行display logbuffer可以查看本地缓存日志，但这只能证明设备产生了日志，不能证明已经发出去，更靠谱的方法是到服务器端用tcpdump抓包，但很多人没有这种条件，还有一个简单实用的办法：临时把loghost地址改为一个不存在的IP，看设备是否报错当然这个方法不推荐，最直接的是在服务器端实时跟踪日志文件，比如tail -f,同时触发一个测试日志事件。
日志服务器端接收配置
设备配置完成，服务器端不能干等着，Linux服务器上最常用的是rsyslog或syslog-ng，Windows环境也有不少免费工具,但咱们这里优先说通用且靠谱的Linux方案。
使用rsyslog接收H3C日志
登录Linux服务器，编辑/etc/rsyslog.conf，把UDP 514模块的注释打开：
module(load="imudp") input(type="imudp" port="514")
然后重启服务：
systemctl restart rsyslog
默认情况下rsyslog会把所有收到的日志写入/var/log/messages，但全部混在一起不便于排查，建议按设备IP或设备名称分目录存放，在/etc/rsyslog.conf末尾添加以下规则：
$template H3CLog,"/var/log/h3c/%FROMHOST-IP%/syslog.log" . ?H3CLog
配置防火墙放行端口
大多数服务器默认开启firewalld或ufw，需要放行UDP 514：
firewall-cmd --permanent --add-port=514/udp firewall-cmd --reload
配置完成后，在设备侧执行display info-center确认loghost状态是“active”，如果send缓冲区有积压，检查服务器端口是否被防火墙拦截，用netstat -an | grep 514查看是否监听。
常见配置问题与排查思路
日志服务器配置完成后，真正用起来时总会遇到一些坑，下面按出现频率排序,给出对应的解决方向。
设备上能看到日志但服务器收不到：先ping服务器，通的话再telnet或nc测试UDP 514端口是否可达，很多企业网络出口设备会把日志服务器的UDP 514当成攻击流量过滤掉。
日志收到但时间不对：先看设备时钟和时区，再看服务器时区，H3C设备默认UTC时区，国内一般要配东八区。
乱码或不可读：检查设备的中文日志编码和rsyslog的字符集设置，部分老版本H3C设备默认发GBK编码,需要在服务器端做编码转换。
日志量太大，服务器磁盘很快写满：在设备上调整日志级别，或者按模块过滤，更优雅的方案是在服务器端配置日志轮转，比如logrotate每周切割、保留4周。
配置保存后重启设备丢失：确认执行了save force,同时检查设备的配置文件里是否真的包含loghost相关行。
h3c日志服务器搭建方案怎么选？
不同规模的企业适合不同方案，这里列一个简单的对比,方便你做预算和选型。
| 场景 | 方案 | 优点 | 缺点 | 成本 |
|---|---|---|---|---|
| 小型网络（少于50台设备） | Linux服务器 + rsyslog | 免费、轻量 | 没有可视化界面，检索靠命令行 | 仅服务器成本 |
| 中型网络（50-200台设备） | 商用Syslog服务器软件 | 有Web界面，告警、报表齐全 | 需要购买授权 | 几千到几万元不等 |
| 大型网络（200台以上） | 专业日志审计平台 | 高吞吐、海量存储、合规报表 | 部署复杂，需要专业运维 | 十万元以上 |
如果你只是平时排查网络故障，搭一个Linux rsyslog完全够用，如果是等保合规需要留存半年以上日志，那就得考虑专业的日志审计系统,因为日志量大了以后普通rsyslog的检索速度会非常慢。
关于h3c日志服务器配置的常见问题
h3c日志服务器配置需要哪些命令？
设备侧三条核心命令：info-center enable开启信息中心，info-center loghost 192.168.1.100 port 514指定服务器地址和端口，save force保存配置，如果有多台设备,每台都要重复操作。
h3c日志服务器能同时接收交换机、路由器和防火墙的日志吗？
能，H3C的交换机、路由器、防火墙均支持标准syslog协议，配置命令也基本一致，只要设备之间有网络连通，服务器上开启UDP 514端口，所有设备都能把日志发到同一个服务器，不同产品型号的日志格式可能稍有差异，但服务器端都能正常解析，建议在服务器端按设备IP创建独立目录,便于区分。
h3c防火墙配置日志服务器和交换机有什么不同？
防火墙比交换机多了一个“会话日志”的概念，除了基本的syslog配置外，H3C防火墙还需要配置info-center source session loglevel informational来开启会话日志输出，否则只能看到系统日志，看不到流量访问记录,其他配置与交换机一致。