查案才发现日志没留存：本地日志缓冲把案发记录翻出来

设备出了事想回查，很多小机房的第一反应是尴尬的：没架日志服务器，日志没留存，案发时刻发生了什么只能靠回忆。其实设备自己肚子里就带着一份滚动记录——日志缓冲区。华为官方文档的display logbuffer命令，把缓冲区里最近的信息中心日志直接翻出来看：谁登录了、谁登录失败了、哪个接口什么时间Down过，全在。应急查案的第一现场，不用架任何东西就能先看上。

缓冲区里有什么

一条命令翻开本地日志：

<HUAWEI> display logbuffer
Logging buffer configuration and contents : enabled                             
Allowed max buffer size : 1024                                                  
Actual buffer size : 512                                                        
Channel number : 4 , Channel name : logbuffer                                   
Dropped messages : 0                                                            
Overwritten messages : 0                                                        
Current messages : 177                                                          
Oct 22 2013 12:10:21 HUAWEI %%01NETCONF/4/LOGOUT(s)[0]:User admin logout from 10
.135.34.97                                                                      
Oct 22 2013 11:16:51 HUAWEI %%01NETCONF/4/LOGOUT(s)[1]:User admin logout from 10
.135.34.97                                                                      
Oct 22 2013 11:16:12 HUAWEI %%01NETCONF/4/LOGIN(s)[2]:User admin login from 10.1
35.34.97                                                                       

开头几行先交代缓冲区本身：容量上限1024、当前用了512，Dropped与Overwritten都是0，说明没有丢日志也没有被滚写覆盖，Current messages是现存条数。往下的流水按时间倒序排，最近的在最上面，一行一条带时间戳——管理员从哪个地址登录登出，谁在什么时刻尝试过登录，全部有迹可循。查案前先看这组计数是个好习惯：Overwritten大于0就说明案子发生时段的记录可能已被滚掉，结论要留余地；Dropped大于0则说明缓冲来不及落笔，同样是信息打折的信号。

查案最该盯的三类记录

应急排查时流水里有三类记录含金量高：一是LOGINFAILED与LOGINFAIL这类登录失败记录，来源IP和次数都写明，谁在反复试密码一眼可见；二是接口状态翻转记录，哪个VLANIF或物理口什么时间Down过，和用户报障时间一对就能定因果；三是配置与登录的先后顺序，变更前后谁登过设备，责任链清楚。官方还给了按模块排序的视图，把同一模块的记录归拢到一起看：

<HUAWEI> display logbuffer order by module

先要摸全局的话，summary视图按级别给出计数表，哪个槽位Error和Warn多，先翻哪本账就有数了：

<HUAWEI> display logbuffer summary
      SLOT EMERG ALERT  CRIT ERROR  WARN NOTIF  INFO DEBUG                      
         8     0     0     0    36   476     0     0     0                      
         0     0     0     0    36   476     0     0     0                      

缓冲是应急袋，不是档案柜

要把定位说清楚：日志缓冲区是滚动的，写满就覆盖最旧的，Overwritten计数增长就是旧账被翻掉的声音——它适合应急查案，不适合当档案。缓冲的大小官方给了上限与可调的余地，但调大只是把翻掉的时刻往后推，救不了"要留三个月"这类留存要求。正路是把日志外发到日志服务器长期留存，本机的缓冲留作第一时间的手账：服务器没到位的过渡期，重大操作前后手动翻一次缓冲导出存档，也算留了底。查案的次序也有讲究——先看summary摸总量定方向，再用按模块排序归拢同类记录，最后逐条对着时间轴读，三层递进比一头扎进流水里省一半时间。应急靠缓冲，留档靠外发，两件事别互相指望。

日志要留底，数据更要留底。贵州诚鑫致达科技为企业做日志留存体系与NAS数据备份的成套方案，欢迎搜索关注交流。

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。贵州县域市场：县城及乡镇企业存储、办公网络与监控存储。