华为交换机如何实时查看系统日志？

Question

常见技术问题： 在华为交换机上执行`display logbuffer`仅能查看历史缓存日志，无法持续监控新产生的系统日志（如接口UP/DOWN、CPU飙升、ACL匹配等实时事件）。管理员常误以为该命令具备“实时刷新”能力，实际其输出为静态快照；而`terminal monitor`虽可开启控制台日志输出，但默认不生效——需先执行`terminal logging`启用终端日志功能，且部分型号（如S5735-L、CE6850）还要求`info-center enable`全局开启信息中心。此外，若日志等级设置过低（如仅warning及以上），debug级调试日志将被过滤，导致关键排错信息丢失。如何正确配置组合命令，实现毫秒级日志滚动显示并确保关键事件不遗漏？

Answer 1

一、认知误区：为什么 display logbuffer 不是“实时监控”？

许多工程师将 display logbuffer 误认为等同于 Linux 的 tail -f，实则其本质是**内存环形缓冲区（Log Buffer）的瞬时快照**。该命令仅读取当前缓存中已写入的日志条目（默认容量 1024 条，可调），不触发日志生成、不订阅新事件、不轮询更新。华为设备日志体系采用“生产–分发–消费”三级架构：info-center 是中枢，logger 模块负责采集，而终端显示只是其中一种消费通道。

二、关键依赖链：终端日志生效的三重门

要使控制台（Console/SSH/Telnet）实时输出新日志，必须满足以下三个条件，缺一不可：

1. info-center enable —— 全局启用信息中心（S5735-L/V2R13+、CE6850-U V2R19+ 等新平台强制要求）；
2. terminal logging —— 启用当前会话的日志接收能力（注意：非全局配置，需每会话执行）；
3. terminal monitor —— 开启当前终端的实时日志打印开关（仅对已启用 terminal logging 的会话生效）。

若任一环节缺失，terminal monitor 将静默无输出——这是现场最常被忽略的“隐形断点”。

三、精度控制：日志等级与模块化过滤策略

华为日志按严重性分为 8 级（0~7），默认 info-center loghost level warning 仅记录 Level 4 及以上事件，导致 ACL 匹配（debug 级）、接口状态抖动（notice 级）、BFD 振荡（debug 级）等关键排错信息被直接丢弃。更精细的控制需结合模块（module）粒度：

模块名	典型事件	推荐调试等级	启用命令示例
ifnet	接口 UP/DOWN、link-flap	debug	info-center source ifnet debug level debugging
cpudefend	CPU 飙升、协议报文限速触发	informational	info-center source cpudefend debug level informational
acl	ACL 规则匹配计数、deny 日志	debug	info-center source acl debug level debugging

四、毫秒级滚动方案：组合命令与会话优化

为实现接近毫秒级（实际受设备 CPU 调度与串口波特率影响，典型延迟 ≤200ms）的连续日志流，需执行如下原子化配置序列：

system-view
info-center enable
info-center source default debug level debugging  # 全局兜底（谨慎使用）
info-center source ifnet debug level debugging
info-center source acl debug level debugging
info-center console channel console level debugging
quit
terminal logging
terminal monitor

⚠️ 注意：info-center console channel console 显式绑定控制台通道并设为 debugging 级，比依赖默认通道更可靠；禁用 undo info-center timestamp 可减少时间戳格式化开销，进一步降低延迟。

五、高可用增强：双通道冗余与日志持久化保障

单控制台存在连接中断、缓冲区溢出、SSH 会话超时等风险。建议构建“实时+持久”双通道：

• 实时通道：上述 terminal monitor 配置，用于秒级故障定位；
• 持久通道：配置 info-center loghost 192.168.10.100（Syslog 服务器），并启用 info-center source default debug level debugging + info-center loghost port 514，确保所有 debug 级事件落盘；
• 本地强化：扩大日志缓存：info-center buffer size 4096，并开启时间戳纳秒精度（V300R022+ 支持）：info-center timestamp precision nano。

六、验证与诊断流程图

当配置后仍无日志输出，按以下路径快速闭环排查：

graph TD A[执行 display logbuffer] -->|有新日志？| B{Yes} B --> C[检查 info-center enable] C -->|未启用| D[执行 info-center enable] C -->|已启用| E[检查 terminal logging] E -->|未启用| F[执行 terminal logging] E -->|已启用| G[检查 terminal monitor] G -->|未启用| H[执行 terminal monitor] G -->|已启用| I[检查 info-center source 模块等级] I --> J[调整对应模块 level 至 debugging] B -->|No| K[确认是否真无事件发生
或 info-center source 被误关闭]

七、进阶实践：自动化日志捕获脚本（Python Paramiko 示例）

对批量设备运维场景，可封装自动化连接与日志监听：

import paramiko, time
client = paramiko.SSHClient()
client.set_missing_host_key_policy(paramiko.AutoAddPolicy())
client.connect('192.168.1.1', username='admin', password='xxx')
chan = client.invoke_shell()
chan.send('terminal logging\n')
chan.send('terminal monitor\n')
chan.send('display clock\n')  # 触发一次日志产生便于验证
time.sleep(1)
while True:
    if chan.recv_ready():
        print(chan.recv(1024).decode('utf-8', errors='ignore'))

该脚本绕过 CLI 命令回显解析瓶颈，直接捕获原始流，配合正则过滤（如 r'IFNET.*UP|DOWN'）可实现事件驱动告警。